Ativos digitais que vivem em um lugar

A internet deixou todo objeto digital disponível em todo lugar ao mesmo tempo. Era essa a ideia, e funcionou. Mas isso também tirou das coisas digitais a única propriedade que faz as coisas físicas parecerem valiosas: estar em algum lugar específico. Um ingresso de show importa porque deixa você entrar numa sala. Um ponto turístico importa porque você precisa viajar até ele.

O Seekprotocol devolve a localização aos ativos digitais. Um token, um NFT ou uma recompensa pode ser emitido para um conjunto de coordenadas em vez de para uma carteira, e fica lá até alguém estar fisicamente dentro do raio e provar isso. Chamamos isso de prova de localização, e é a base sobre a qual o resto do protocolo é construído.

A camada para o consumidor é o Seekprotocol, um app para iOS e Android que renderiza esses ativos em realidade aumentada. Você caminha, o celular mostra o que está por perto e você coleta o que encontra. Por baixo, a liquidação acontece na rede em que o ativo já existe, com um único requisito: custos de transação baixos o bastante para que pegar uma recompensa pequena não custe mais do que ela vale.

O que este documento cobre

Dezesseis capítulos, em quatro movimentos. Os três primeiros apresentam o problema e a base que responde a ele. Os capítulos quatro a sete são a máquina: como um resgate viaja, como as camadas se encaixam e o que o app faz com elas. Os capítulos oito a onze são a economia, de quem paga pelo posicionamento até quem decide os parâmetros. Os cinco últimos são o que um whitepaper costuma deixar de fora: os ataques, o custo para a privacidade, a posição regulatória e os limites honestos.

Vários gráficos são interativos. O modelo de verificação, a linha do tempo do resgate, o sorteio da captura e a calculadora de orçamento fazem a mesma aritmética que o protocolo, com as mesmas constantes, para que você possa discordar do design, e não de um diagrama dele.

Dois grupos têm um problema que acaba sendo o mesmo, visto de lados opostos.

Marcas e locais não conseguem comprar fluxo de pessoas

A publicidade digital consegue colocar uma imagem na frente de alguém em milissegundos. Não consegue fazer essa pessoa andar três quarteirões. A conversão de uma impressão em visita física é o elo mais fraco de todo o funil de varejo e eventos, e é mal medida, geralmente perguntando às pessoas no caixa se elas viram um anúncio.

A resposta do setor tem sido a modelagem. Painéis de aparelhos que deram consentimento são extrapolados para uma população, e o número resultante de visitas às lojas é relatado junto com impressões e cliques, como se viesse do mesmo tipo de contador. Não veio. Um número é um evento e o outro é uma estimativa, e as campanhas são julgadas pela estimativa.

Projetos cripto não conseguem encontrar usuários reais

Airdrops são a ferramenta padrão de distribuição, e são farmados. Criar uma carteira não custa nada, então qualquer recompensa que possa ser resgatada por uma carteira será resgatada por milhares de carteiras de um punhado de pessoas. Os projetos respondem com regras de elegibilidade cada vez mais elaboradas, que em geral filtram os usuários comuns enquanto os farmers sofisticados se adaptam.

Os dois problemas desaparecem se for possível provar que um ser humano esteve em um lugar específico em um momento específico. O fluxo de pessoas se torna mensurável porque a chegada é o evento registrado. Farmar airdrops fica caro porque uma carteira é grátis, mas viajar não, e ninguém está em quarenta cidades ao mesmo tempo.

Por que isso pode ser construído agora e não antes

Três coisas tinham que chegar ao mesmo tempo. Os celulares precisavam ter GNSS de dupla frequência, câmeras com percepção de profundidade e atestação por hardware como padrão, e não como recursos de topo de linha. A liquidação precisava ficar barata o bastante para que uma recompensa de alguns centavos sobrevivesse à transferência, o que descartava todas as redes até as taxas caírem abaixo de um centavo. E as pessoas precisavam estar dispostas a apontar uma câmera para a rua e ver algo renderizado nela, o que uma década de AR em jogos resolveu sem alarde.

O capítulo anterior disse que dois grupos têm o mesmo problema. Este trata da ferramenta que os dois buscam primeiro, e de por que ela falha de um jeito que gastar mais não resolve.

Toda métrica do mercado é uma aproximação

Uma impressão, um clique, uma visualização, um seguidor, um endereço de carteira: nenhum deles é uma pessoa. Cada um é um sinal que se correlaciona com uma pessoa sob condições controladas por quem vende o sinal. Quando a recompensa por produzir o sinal supera o custo de produzi-lo sem uma pessoa, ele passa a ser produzido sem uma pessoa, e a correlação em que todo o mercado se baseia se descola, em silêncio, daquilo que representava.

Filtros não restauram o sinal

A resposta padrão são regras de elegibilidade: saldos mínimos, atividade anterior, janelas de snapshot, captchas, impressões digitais de dispositivo. Cada uma aumenta o custo de um resgate falso em um valor e o custo de um resgate real em outro, e a razão entre esses dois é a única coisa que decide se o filtro ajudou. Na prática, o farmer sofisticado absorve o custo e o usuário comum desiste, então os filtros acabam selecionando justamente o público que deveriam excluir.

A presença não é um filtro melhor. É outro tipo de coisa, porque o custo que ela impõe não é computacional. Não dá para paralelizá-lo num rack, ele não cai quando o hardware fica mais barato, e não existe proxy residencial para uma rua.

O publicador continua definindo o pedido

Verificar que alguém esteve em algum lugar não diz nada sobre o que essa pessoa deve fazer lá, e o protocolo se recusa deliberadamente a decidir isso. Um resgate pode ser condicionado a um follow, um cadastro, um scan de produto na prateleira, um mint na coordenada, uma compra no caixa, ou a nada além da chegada. A verificação por baixo é idêntica em todos os casos, o que significa que um publicador pode mudar o pedido entre campanhas sem mudar nada na garantia.

Isso importa por um motivo fácil de ignorar. Um canal de distribuição que dita a chamada para ação só serve para as campanhas para as quais foi desenhado, e todo publicador fora desse formato precisa adaptar sua oferta ao canal. O que se vende aqui é a evidência, não o funil.

O que isso não resolve

Uma chegada verificada é evidência de que um aparelho esteve em uma coordenada, não de que a pessoa que o segurava queria estar lá ou que vai voltar. Alguém pago para passar em frente a uma porta é uma chegada real e um cliente ruim. O protocolo torna a chegada cara de falsificar e simples de contar. Se valeu a pena comprá-la continua sendo uma questão de marketing, e nenhuma blockchain responde a isso.

A prova de localização é a afirmação de que um aparelho estava dentro de um raio durante uma janela de tempo, tornada confiável o bastante para que algo de valor possa ser liberado com base nela.

Nenhum sinal sozinho é confiável. O GPS puro pode ser falsificado por qualquer aparelho com root e um provedor de localização falsa. Por isso o protocolo avalia um resgate com vários sinais independentes e exige que a combinação seja coerente, porque falsificar um sinal é fácil e falsificar todos de forma consistente não é.

Sinais que combinamos

• Sinal GNSS, a posição bruta por satélite com a precisão informada, além da constelação e do número de satélites, que os falsificadores costumam errar.
• Ambiente de rádio, o conjunto de redes Wi-Fi e torres de celular próximas, comparado com o que o protocolo espera ver naquelas coordenadas. Ambientes de rádio são difíceis de fabricar e mudam devagar.
• Atestação do dispositivo, Play Integrity no Android e DeviceCheck ou App Attest no iOS, confirmando que o app é genuíno e que o sistema não foi comprometido.
• Continuidade de movimento, o registro do acelerômetro entre a posição confirmada anterior e a atual. Um resgate alegando que você percorreu 400 km em 90 segundos sem um perfil de movimento compatível é rejeitado.
• Plausibilidade temporal, em que os horários de chegada são comparados com o tempo de viagem implicado pela sua última localização confirmada.

Cada sinal contribui para uma pontuação de confiança. Os ativos definem a pontuação exigida: uma recompensa de missão de baixo valor pode aceitar uma pontuação moderada, enquanto um drop de alto valor num evento com ingresso pode exigir atestação do dispositivo e um ambiente de rádio compatível. Resgates abaixo do limite são recusados, e recusas repetidas de um mesmo aparelho aumentam o limite para ele.

Por que os sinais são ponderados, e não obrigatórios

Uma regra que exige todos os sinais é uma regra que recusa usuários honestos. Estações de metrô perdem o GNSS. Prédios novos têm ambientes de rádio que o mapa nunca viu. Um celular duas versões de sistema atrás pode falhar na atestação por motivos que não têm nada a ver com fraude. A ponderação permite que um ativo diga quanta evidência seu valor merece, e que um resgate honesto sobreviva a um sinal ruim sem deixar um resgate falso sobreviver a quatro.

O capítulo anterior descreve a evidência. Este acompanha um único resgate desde o momento em que você tenta pegar um ativo até o momento em que ele está na sua carteira, porque é na ordem das operações que vive a maior parte das decisões de design.

A fronteira que importa

Veja onde as etapas mudam de máquina. Tudo o que é sensível acontece nas três primeiras: a posição, a varredura de rádio, o registro de movimento, a atestação. Nada disso sai do seu celular em forma bruta. O que chega ao verificador é um resgate assinado, e o que vai do verificador para a blockchain é uma atestação assinada de que o resgate atingiu o limite.

É por isso que a verificação é off-chain. Não é uma concessão de escalabilidade. Colocar a pontuação on-chain significaria publicar os dados de entrada, e os dados de entrada são uma descrição de onde você está e de quais redes sem fio estão ao seu redor.

O que acontece quando falha

• Abaixo do limite: o resgate é recusado, o ativo continua no mapa e nada é gravado na blockchain. A recusa fica registrada no aparelho.
• Recusas repetidas: a pontuação exigida para aquele aparelho aumenta. Um aparelho que falhou em seis resgates em uma hora não é tratado como um que não falhou em nenhum.
• Falha na liquidação: o resgate é retido e tentado de novo, não descartado. Um ativo ganho e não entregue é um bug que custa confiança, então a fila foi projetada para tirar do caminho um pagamento travado em vez de bloquear os que vêm atrás.
• Expiração durante o resgate: os ativos têm uma janela, e um resgate que chega depois que ela fecha é recusado mesmo com pontuação perfeita. A janela faz parte do ativo, não é uma condição da rede.

O protocolo tem quatro camadas. Cada uma pode ser analisada, e substituída, de forma independente.

A separação importa mais na fronteira entre localização e liquidação. A verificação de localização é probabilística e acontece off-chain, porque depende de dados de sensores que não têm por que ser públicos. O que chega à blockchain é uma atestação assinada de que um resgate atingiu o limite, não o seu histórico de movimentos.

O que é armazenado, e onde

• On-chain: definições dos ativos, suas coordenadas e raios, registros de resgate e transferências de tokens. Público e permanente.
• Off-chain: leituras brutas dos sensores, impressões digitais de rádio e atestações de dispositivo. Mantidas só pelo tempo necessário para pontuar um resgate e resolver disputas, e depois descartadas.
• No aparelho: seu histórico de posições e os dados das âncoras de AR. Ficam no seu celular, a menos que você os compartilhe explicitamente.

Por que a camada de liquidação não é fixa

O requisito é incomum para uma blockchain: um número muito alto de transações, um valor muito baixo por transação e uma confirmação rápida o bastante para que uma pessoa parada na rua nem perceba. Quem pega uma recompensa de vinte centavos não pode pagar dez centavos para recebê-la, e não vai ficar parado trinta segundos esperando. Isso elimina boa parte das opções pelo custo e o resto pela latência. Mas as elimina como requisito, não como uma escolha de rede feita uma vez e em torno da qual tudo é construído.

Por isso a liquidação é configuração. Uma rede é uma linha com endpoint, explorador e token nativo próprios; um ativo lista as redes em que existe, com o endereço do contrato e as casas decimais em cada uma; e uma carteira é uma de duas famílias de endereços, não uma por rede, já que todas as redes EVM compartilham o endereço. Um publicador financia uma campanha no token que já tem, e o resgate é liquidado onde esse token vive. Adicionar uma rede é uma linha, não um novo lançamento.

Vale dizer qual é a contrapartida. Blockchains param, e uma blockchain parada significa resgates na fila. A liquidação é tratada como uma etapa que pode falhar e ser repetida, e não como uma que sempre dá certo, o que é o design correto em qualquer rede e obrigatório em uma rápida. Distribuir entre várias redes não elimina esse risco. Evita que a queda de uma rede seja a queda do protocolo inteiro, uma afirmação mais modesta e a honesta.

O que roda onde

O Seekprotocol é onde o protocolo vira algo que uma pessoa pode usar sem saber nada disso. Ele abre num mapa do que está por perto, e levantar a câmera renderiza esses ativos no lugar pelo motor de AR.

O que o app faz

• Descobrir, um mapa ao vivo de drops, missões e eventos a uma distância que dá para ir a pé, filtrado pelo que realmente interessa a você.
• Coletar, quando você aponta a câmera, vê o ativo ancorado no mundo, estende a mão e o pega. A liquidação acontece em segundo plano.
• Guiar, um companheiro de IA que lê o ambiente pela câmera, sugere rotas, explica o que você está vendo e se adapta ao seu jeito de jogar.
• Guardar, uma carteira integrada criada a partir de um login social, para que quem é novo não precise anotar uma seed phrase antes de pegar qualquer coisa.

A restrição do onboarding define mais decisões de design do que qualquer outra. A maioria das pessoas que vão usar o Seekprotocol nunca teve uma chave privada. Se os primeiros trinta segundos envolverem a palavra 'mnemônico', elas vão embora. Por isso a carteira é criada em silêncio e pode ser exportada depois por quem quiser ter a custódia.

A caminhada até o drop

Os ativos ficam a algumas dezenas ou poucas centenas de metros, uma distância em que o mapa basta e uma rota é exagero. Marcar um spawn traça uma linha reta de você até ele. A linha é tracejada de propósito: é uma direção, não uma rota, não sabe nada sobre prédios, e nessa distância a direção normalmente é o próprio caminho. Ela some assim que você entra no raio de captura, onde o anel assume.

Os spawns expiram em até uma hora. É uma decisão de jogo com consequência para o protocolo: um marcador restaurado na próxima abertura apontaria para o nada, então o app não o guarda.

Ancoragem, e para que serve a AR aqui

A visão da câmera não é decoração, nem é a verificação. Ela faz duas coisas. Coloca o ativo num lugar crível no mundo, para que pegá-lo seja uma ação e não o toque num botão, e dá ao sinal de movimento algo com que ser coerente, porque uma pessoa andando ao redor de um objeto ancorado se move como uma pessoa, e um falsificador segurando um celular parado não.

Um protocolo que paga pela chegada ainda precisa de um motivo para a primeira chegada. Ninguém anda quatro quarteirões por um mecanismo. A camada de jogo é o lado da demanda da rede, e foi desenhada com a mesma honestidade da verificação: as chances são publicadas, calculadas no servidor, e o cliente nunca é consultado sobre o que aconteceu.

A captura

Chegar a um ativo não o entrega a você. Um anel de carga corre enquanto você segura o toque, e a qualidade dessa carga alimenta um multiplicador. Depois o servidor faz o sorteio. Você tem duas tentativas por spawn, e a segunda vale 0,65 da primeira, que é o número que faz uma segunda chance parecer uma segunda chance, e não um prêmio de consolação.

Os termos que ninguém costuma publicar

A maioria dos jogos esconde os modificadores. Aqui não há motivo para isso, porque a propriedade interessante é que a habilidade influencia, mas nunca decide. O anel de carga é um multiplicador entre 0,85 e 1,0, então um toque perfeito numa lendária ainda é uma lendária, e um toque errado numa comum provavelmente ainda é uma comum.

• Bônus de nível, 0,3 ponto fixo de chance por nível do jogador, ao longo de dez níveis, de Buscador a Lenda.
• Sequência fria, um contador de piedade que vale 2 pontos por erro consecutivo, até 12, aplicado tanto à nova tentativa quanto entre moedas.
• Penalidade de sequência, 4 pontos por acerto consecutivo na mesma moeda, até 20, para que farmar um único ponto de spawn fique pior, e não melhor.
• Bônus de clã, até 5 pontos, conquistado pelo clã e não pelo jogador.
• Power-ups, comprados ou ganhos, que multiplicam a chance base antes de todos os outros termos serem somados.

Progressão, e para que ela serve

Níveis, emblemas, clãs, desafios de doze horas e metas semanais existem para dar à caminhada uma forma mais longa do que um drop. Eles também trabalham para o protocolo: um jogador com nível, clã e sequência tem uma conta com histórico, e um histórico é caro de fabricar em escala. A progressão é um segundo custo imposto ao farmer que não custa nada ao jogador honesto, porque ele ia jogar de qualquer forma.

Uma rede baseada em localização não vale nada se os lugares estiverem vazios. Por isso o protocolo trata o posicionamento de ativos como um produto de primeira linha, e não como uma ferramenta interna.

Três tipos de publicador

• Marcas e locais usam o portal para empresas para colocar ofertas nos próprios estabelecimentos e medir quem realmente chegou. A unidade que compram é uma visita verificada, não uma impressão.
• Projetos de tokens e comunidades de NFT distribuem para pessoas, e não para carteiras, usando a geografia como o filtro que o farming não consegue vencer de forma barata.
• Organizadores de eventos transformam um festival, uma partida ou uma conferência em um mapa resgatável durante o evento, com ativos que expiram quando ele termina.

Os três usam o mesmo criador de campanhas: coloque um pin, defina o raio, escolha o ativo e a quantidade, defina o limite de confiança e a janela de tempo, financie, publique. Sem trabalho de integração e sem contrato para escrever.

O problema da densidade

Oferta e demanda aqui são geográficas, o que torna inútil o conselho habitual para marketplaces. Mil ativos espalhados por um país inteiro são um mapa vazio em todo lugar. Os mesmos mil numa cidade são um motivo para sair de casa. Por isso o preço do posicionamento depende da demanda pela área em vez de ser fixo, então ocupar uma rua comercial saturada custa mais do que uma tranquila, e o protocolo subsidia as ruas que precisam de movimento em vez das que já têm.

O $SEEK é o ativo de liquidação e coordenação do protocolo. Ele existe porque a rede precisa movimentar valor entre partes que não se conhecem, como uma marca num país financiando uma recompensa resgatada por um desconhecido em outro, e porque o custo de colocar ativos deve crescer com a demanda pelos lugares usados.

Utilidade

• Financiamento de campanhas, em que os publicadores denominam e financiam recompensas em $SEEK.
• Taxas de posicionamento, uma taxa por ativo colocado, conforme o raio, a duração e a demanda por aquela área.
• Staking por prioridade, em que $SEEK em staking aumenta a prioridade de posicionamento de um publicador quando várias campanhas disputam as mesmas coordenadas.
• Recompensas, com a maior parte das taxas do protocolo voltando para quem faz a caminhada.
• Governança, cobrindo mudanças de parâmetros, alocação da tesouraria e os limites de confiança para resgates de alto valor.

Supply ao longo do tempo

Um gráfico de alocação mostra quem tem o quê e nada sobre quando. O cronograma abaixo é o número mais útil, porque o risco de um token raramente está na divisão, e sim no cliff.

A intenção do design é que o fluxo de taxas acompanhe a atividade real, e não a especulação: o protocolo ganha quando ativos são colocados e resgatados, o que só acontece quando alguém está disposto a pagar por uma visita verificada.

O que o token deliberadamente não faz

• Não fixa uma taxa entre uma unidade do jogo capturada e um token. O jogo dá valor a uma captura; o mercado dá valor ao token; o protocolo não finge fazer a ponte entre os dois.
• Não é obrigatório para jogar. Capturas, XP e desafios são grátis, e um jogador que nunca toca no token ainda gera as chegadas pelas quais um publicador está pagando.
• Não condiciona o posicionamento a um saldo mínimo. O staking compra prioridade quando campanhas disputam espaço, não o direito de publicar.

Um whitepaper que descreve um token e não um negócio descreve meio sistema. Há duas fontes de receita, e elas vêm de lados opostos da rede, o que é proposital: nenhum dos lados sozinho a manteria funcionando.

Posicionamento, pago pelos publicadores

A fonte principal. Um publicador financia as recompensas e paga, além disso, uma taxa de posicionamento conforme a área que o ativo ocupa, por quanto tempo e o quanto essa área é disputada. É essa a taxa que cresce com o valor que a rede cria, porque é cobrada sobre o que os publicadores realmente compram, que é a chegada.

O pass e a loja, pagos pelos jogadores

Opcionais, e limitados de propósito. Um pass de temporada dura noventa dias e inclina a ponderação dos spawns para moedas mais raras, com um resgate raro semanal e uma revelação incluídos. Os boosts são vendidos separadamente, e nenhum deles compra chances melhores numa moeda: eles revelam o que é um ponto de interrogação, ampliam o raio de captura, trazem mais moedas para perto, multiplicam XP, seguram uma moeda que escapou, permitem uma captura à distância ou adicionam uma caixa de cartas.

Por que essa divisão é a forma certa

O gasto dos jogadores é elástico, sazonal e limitado pelo quanto alguém paga por um hobby. O gasto dos publicadores é uma linha do orçamento de marketing, avaliada contra um custo por chegada que tem uma alternativa real para comparação. O primeiro mantém as luzes acesas no início, quando há mais jogadores do que campanhas. O segundo é aquilo em que o negócio se transforma, e só funciona se o primeiro nunca virar pay-to-win, porque uma rede de jogadores pagantes que capturam tudo relata chegadas que não valem nada para o local.

Este protocolo tem um número incomum de constantes ajustáveis: limites de raio, limites de confiança, ponderação das taxas de posicionamento, a parcela das taxas devolvida aos buscadores e a própria escada de captura. Cada uma delas é uma decisão política vestida de valor de configuração, e fingir o contrário é como protocolos acabam governados por quem editou um arquivo por último.

A posição por etapas, dita com honestidade

A governança não está ativa. Hoje os parâmetros são definidos pela equipe principal e alterados por migrações registradas e revisáveis. Não vamos chamar isso de descentralizado, porque não é.

O motivo do atraso não é relutância. Votar numa economia sem volume é teatro: a participação é baixa, um punhado de detentores decide, e as decisões tratam de parâmetros que ninguém tem dados suficientes para avaliar. A governança passa a ter sentido quando há fluxo real de taxas, porque aí uma mudança de parâmetro tem uma consequência mensurável sobre a qual se pode discutir.

O que será governado, e o que não será

• Governado: ponderação das taxas, a parcela dos buscadores nas taxas do protocolo, alocação da tesouraria, limites de raio e os limites de confiança disponíveis para ativos de alto valor.
• Governado com atraso: tudo o que muda o valor de ativos já colocados. Uma campanha financiada sob uma tabela de taxas deve terminar sob ela.
• Não governado: os compromissos de privacidade do capítulo catorze. Limites de retenção e a recusa em publicar dados de movimento não são parâmetros, e uma votação não é uma forma legítima de enfraquecê-los.
• Não governado: resultados de resgates individuais. Um resgate recusado é assunto para resolução de disputas, não para votação.

Um protocolo que paga pessoas por estarem em algum lugar convida as pessoas a mentir sobre onde estão. Ser específico sobre os ataques é mais útil do que afirmar que o sistema é seguro.

Ataques de que nos defendemos

• Falsificação de GPS, mitigada exigindo que o ambiente de rádio e o registro de movimento confirmem o sinal, e pela atestação do dispositivo, que detecta sistemas adulterados.
• Farming sybil, mitigado pelo custo físico da viagem e por limites de resgate por aparelho dentro de um raio e de uma janela de tempo.
• Ataques de retransmissão, em que um aparelho real no local assina por um usuário remoto, mitigados vinculando a atestação à instância do app e à sessão, e limitando a frequência de resgates por aparelho.
• Fazendas de emuladores, mitigadas pela atestação, em que emuladores falham, e por registros de movimento que se distinguem estatisticamente de uma caminhada real.
• Spawns declarados pelo cliente, prevenidos e não apenas mitigados: só o servidor anuncia o que existe e onde, então um cliente modificado pode mentir sobre o que vê sem ganhar nada.
• Resgates duplos, prevenidos travando antes de avaliar o resgate, para que duas pessoas tentando pegar a última unidade não ouçam as duas que conseguiram.

Limites que aceitamos

Um atacante determinado o bastante, com hardware modificado e presença física em um local, pode extrair desse local mais valor do que um usuário honesto. Limitamos o dano com tetos por local, em vez de fingir que isso é impossível. O posicionamento em ambientes fechados continua sendo bem menos preciso do que ao ar livre, então ativos internos usam raios maiores e dependem mais da impressão digital de rádio. E nenhum aparelho de consumo consegue provar que era um humano, e não um aparelho, que estava presente: um celular numa van de entregas ainda se move como um celular no bolso.

Riscos que não são ataques

• Dependência das plataformas. A atestação depende da Apple e do Google. Uma mudança de política em qualquer uma delas poderia enfraquecer da noite para o dia o sinal mais forte da pilha, e não há versão disso que contorne o sistema operacional.
• Disponibilidade da rede. Uma blockchain parada significa resgates na fila. O protocolo tenta de novo em vez de descartar, mas quem está parado na rua não vive uma nova tentativa como um sucesso.
• Segurança física. Recompensar pessoas por irem a lugares coloca pessoas em lugares. Os ativos são colocados em cruzamentos, e não dentro do contorno de prédios, drops de alto valor evitam propriedade privada e o app traz um aviso de segurança. Isso é uma restrição de design, não um aviso legal.

Um registro de por onde alguém anda revela a casa, o trabalho, a saúde, a religião e os relacionamentos dessa pessoa. Construir uma rede com base em resgates de localização significa assumir essa responsabilidade, e o design responsável é guardar o mínimo possível disso.

• O rastreamento contínuo nunca é necessário. O app pede uma posição quando você tenta um resgate, não em segundo plano.
• Os dados brutos de sensores e de rádio são usados para pontuar um resgate e depois descartados após um curto prazo de retenção.
• O que fica gravado on-chain é que um resgate numa coordenada pública deu certo, a mesma informação que uma loja tem ao saber que alguém usou um voucher.
• Seu histórico de movimentos fica no seu aparelho. O protocolo não precisa dele e não o quer.
• Os publicadores recebem contagens agregadas, nunca rastros individuais.

O problema que não resolvemos

Como os registros de resgate são públicos e permanentes pela própria natureza da blockchain, um observador determinado pode correlacionar resgates feitos pela mesma carteira em lugares diferentes. É uma fraqueza real e inerente a liquidar num registro público. Os usuários que quiserem evitar isso devem usar carteiras separadas para contextos separados, e o app facilita isso em vez de escondê-lo, mas um padrão que exige que o usuário conheça o problema não é uma solução.

Três regimes afetam este protocolo ao mesmo tempo, o que é incomum e vale a pena explicitar, em vez de deixar numa nota de rodapé.

Proteção de dados

Na maioria das leis modernas de proteção de dados, a localização fica próxima das categorias especiais, e o protocolo foi construído segundo a leitura mais rigorosa, e não a mais conveniente. A posição é coletada com uma finalidade declarada no momento do resgate, mantida só pelo tempo que a pontuação e a resolução de disputas exigem, e nunca combinada num perfil de movimento. Onde a lei concede direito de exclusão, o registro off-chain pode ser excluído; o registro de resgate on-chain não, o que é uma limitação do registro e é informado, e não disfarçado.

Classificação do token

O $SEEK foi projetado como um ativo de utilidade e coordenação, e a utilidade descrita no capítulo dez é real, não decorativa. Essa é uma posição de design, não uma conclusão jurídica. A classificação varia conforme a jurisdição, muda com o tempo e não é algo que um whitepaper possa resolver só afirmando. Por isso a disponibilidade é restrita onde as regras locais exigem.

Recompensas, sorte e o limite do jogo de azar

A captura envolve um sorteio, o que a coloca perto de um limite que varia de país para país. Duas propriedades a mantêm do lado certo na maioria dos regimes e são mantidas de propósito: participar não custa nada, e os itens pagos ajustam chances e taxas em vez de serem apostas com prêmio variável. Um pass compra ponderação e um boost compra um multiplicador; nenhum dos dois é uma aposta que pode ser perdida. Onde uma jurisdição entende de outro modo, o nível pago é retirado, em vez de contestado.

O Seekprotocol está no ar no iOS e no Android com drops baseados em localização, renderização em AR e a carteira social. A pilha de verificação usa hoje os sinais de GNSS, atestação e continuidade de movimento; a impressão digital de rádio está sendo implantada por etapas. A atestação é aplicada por trás de uma flag, e esse é o estado honesto: o caminho de recusa está construído e o botão de aplicação ainda não foi acionado em todas as partes.

O criador de campanhas de arrastar e soltar está construído. O próximo passo é o portal self-service para empresas, que abre o posicionamento além das parcerias gerenciadas, e as análises de chegadas que o acompanham. Junto disso vêm o token generation event, o modo de eventos ao vivo, as temporadas e o escaneamento de objetos. A governança vem quando houver fluxo real de taxas suficiente para que as decisões sobre parâmetros tenham sentido, pelos motivos expostos no capítulo doze.

O que não estamos prometendo

• Uma data para a governança. Ela depende de volume, e volume não é uma data.
• A mesma precisão em ambientes fechados. É um problema difícil, e a resposta honesta são raios maiores em ambientes internos no futuro previsível.
• Uma nova blockchain só por ter. Os requisitos de latência e custo do capítulo seis são estreitos, e adicionar uma rede que não os cumpre seria uma decisão de marketing, não técnica.

O detalhamento completo, fase por fase, está na página do roadmap, que é atualizada à medida que as coisas são lançadas.

Termos usados ao longo deste documento, com o significado que têm aqui, e não o que têm em geral.