属于某个地方的 数字资产

互联网让每一个数字对象同时在任何地方可得。这本就是目的，而且做到了。但它也剥去了数字事物身上唯一让实物显得有价值的属性：处在某个特定的地方。一张演出票之所以重要，是因为它能让你进入某个场馆。一处地标之所以重要，是因为你必须动身前往。

Seek Protocol 把位置放回数字资产之中。代币、NFT 或奖励可以发行给一组坐标而不是一个钱包，并停留在那里，直到有人实际站进它的半径之内并加以证明。我们称之为位置证明，协议的其余部分都建立在这一原语之上。

面向用户的一面是 SeekAR，一款 iOS 与 Android 上的移动应用，用增强现实呈现这些资产。你走动，手机显示附近有什么，你把找到的收下。在底层，结算发生在 Solana 上，选择它是因为交易成本低到领取一份小额奖励不会比奖励本身还贵。

本文涵盖什么

十六章，分为四个乐章。前三章提出问题以及回应它的那条原语。第四到第七章是这台机器：一次领取如何流转、各层如何咬合、应用又拿它们做什么。第八到第十一章是经济：从谁为投放付费，到谁决定参数。最后五章是白皮书通常会略去的部分：攻击、隐私的代价、监管处境，以及诚实的局限。

有几张图是可以动手玩的。验证模型、领取时间线、捕获掷点和预算计算器，跑的都是协议真正跑的算式，用的是同一组常数，好让你反对的是这套设计本身，而不是它的一张示意图。

两类人面临的问题，其实是同一个问题的两端。

品牌与场馆买不到客流

数字广告能在毫秒之间把一张图推到某人眼前，却没法让他走过三条街。从曝光到真实到店，是整条零售与活动漏斗中最薄弱的一环，而且被测得很糟，通常靠在收银台问顾客有没有看过广告。

业界的答案是建模。把一批已获授权的设备样本外推到整个人群，得出的到店数字被和曝光、点击并排报告，仿佛来自同一个计数器。事实并非如此。一个数字是事件，另一个是估算，而每一次投放都按估算来评判。

加密项目找不到真实用户

空投是标准的分发工具，而且总被刷。创建钱包不花钱，所以任何钱包就能领取的奖励，都会被属于少数几个人的成千上万个钱包领走。项目方的回应是越来越复杂的资格规则，结果多半把普通用户挡在门外，而老练的刷子照样适应。

只要能证明一个真人在特定时间到过特定地点，这两个问题就一起消解。客流变得可测，因为被记录的事件就是到场。刷空投变得昂贵，因为钱包免费而出行不免费，也没有人能同时出现在四十座城市。

为什么现在能做，而以前不能

三件事必须同时到位。手机要把双频 GNSS、具备深度感知的摄像头和硬件级认证做成标配，而不是旗舰专属。结算成本要低到一份价值几分钱的奖励经得起转移，而在手续费降到一分钱以下之前，这排除了所有链。人们还得愿意把摄像头对准一条街、并接受里面渲染出东西来，而这一点，游戏行业十年的 AR 已经悄悄解决了。

位置证明是这样一种主张：某台设备在某个时间窗内处于某个半径之中，而且这一主张可信到足以据此释放有价值的东西。

任何单一信号本身都不可信。原始 GPS 在任何装了模拟定位的已 root 设备上都能伪造。因此协议用多路独立信号为一次领取打分，并要求这些信号彼此自洽，因为伪造一路信号很容易，让所有信号同时自洽地假下去则不然。

我们组合的信号

• GNSS 定位，原始卫星位置及其上报精度，外加星座与卫星数量，而伪造者常常在这里出错。
• 周边无线电，附近的 Wi-Fi SSID 与基站集合，与协议预期在该坐标应当看到的情况比对。无线电环境难以伪造，且变化缓慢。
• 设备认证，Android 上的 Play Integrity 与 iOS 上的 DeviceCheck 或 App Attest，用于确认应用是正版、系统未被破坏。
• 运动连续性，上一次确认位置与本次之间的加速度计轨迹。若声称 90 秒内移动了 400 公里却没有相应的运动特征，该领取会被拒绝。
• 时间合理性，把到达时间与你上一次确认位置所隐含的行程时间相互印证。

每一路信号都会计入一个置信分。资产自行设定所需的分数：一份价值不高的任务奖励可以接受中等分数，而售票活动上的高价值投放则可以要求设备认证与吻合的无线电环境。低于阈值的领取会被拒绝，同一台设备反复被拒，则该设备的阈值随之提高。

为什么信号是加权而非全部必需

一条要求所有信号齐备的规则，就是一条会拒绝诚实用户的规则。地铁站里收不到 GNSS。新建的楼宇有着地图从未见过的无线电环境。落后两个系统版本的手机可能因与欺诈无关的原因通不过认证。加权让每件资产自己说明它的价值值得多少证据，也让诚实的领取扛得住一路坏信号，同时不让伪造的领取扛住四路。

上一章讲的是证据。这一章跟随一次领取，从你伸手去拿一件资产的那一刻，直到它进入你的钱包，因为大多数设计决定都藏在操作的先后顺序里。

真正重要的那条界线

看清楚各阶段是在哪里换了机器。所有敏感的事都发生在前三步：定位、无线电扫描、运动轨迹、设备认证。这些都不会以原始形态离开你的手机。越过边界送到验证方的是一份签名的领取请求，从验证方送上链的，是一份声明该请求已达到阈值的签名证明。

这正是验证放在链下的原因。它不是扩容上的妥协。把评分放到链上，就意味着要公开输入，而这些输入描述的正是你站在哪里、身边有哪些无线网络。

失败时会怎样

• 低于阈值：领取被拒，资产仍留在地图上，链上不写入任何内容。这次拒绝会计到该设备名下。
• 反复被拒：该设备所需的分数会上升。一小时内失败六次的设备，不会和一次都没失败的设备被同等对待。
• 结算失败：领取会被保留并重试，而不是丢弃。已经赢到却没有交付的资产是一种消耗信任的缺陷，因此队列的设计是把卡住的支付挪到一旁，而不是堵住后面的。
• 领取途中过期：资产带有时间窗，窗口关闭之后到达的领取即便分数完美也会被拒。这个窗口属于资产本身，而不是网络状况。

协议由四层构成。每一层都能单独推敲，也能单独替换。

这种分离在位置与结算的交界处最为关键。位置验证是概率性的，且发生在链下，因为它依赖那些根本不该公开的传感器数据。抵达链上的，是一份声明某次领取达到了阈值的签名证明，而不是你的行动记录。

什么被存下来，存在哪里

• 链上：资产定义及其坐标与半径、领取记录、代币转账。公开且永久。
• 链下：原始传感器读数、无线电指纹与设备认证。仅在为一次领取评分和处理争议所需的时间内保留，随后丢弃。
• 设备上：你的位置历史与 AR 锚点数据。除非你主动分享，否则一直留在手机里。

为什么是 Solana

这套要求对一条链来说并不寻常：交易笔数极高、单笔价值极低，而确认还要快到让站在街上的人察觉不到。领取一份价值两毛钱奖励的人，不可能为收下它付出一毛，也不会站着等三十秒。这个组合在成本上淘汰了大半选手，在延迟上淘汰了剩下的。

代价是真实存在的，也值得说明。Solana 出过停机，而一条停下来的链就意味着排队的领取。协议把结算当作一个可能失败并重试的步骤，而不是一个必然成功的步骤。无论用哪条链这都是正确的设计，只是在这条链上它并非可选项。

什么跑在哪里

在 SeekAR 里，协议变成了不需要懂上面任何一段也能用的东西。打开就是一张附近有什么的地图，举起相机，AR 引擎便把这些资产渲染在它们所在的位置上。

这个应用做什么

• 发现，一张步行可达范围内的投放、任务与活动的实时地图，按你真正在意的内容筛选。
• 收集，你举起相机，看到资产锚定在世界之中，伸手取走。结算在后台完成。
• 引导，一位通过相机读取周围环境的 AI 伙伴，建议路线、解释你眼前的东西，并随你的玩法调整。
• 持有，由社交账号登录创建的内置钱包，让新用户在能收下任何东西之前，不必先抄一段助记词。

上手门槛这一条，比任何其他因素都更能左右设计决定。将来会用 SeekAR 的人里，大多数从没拿过私钥。如果头三十秒里出现「助记词」这三个字，他们就走了。所以钱包是悄悄创建的，日后想自己保管的人可以导出。

走向投放点的那段路

资产就在几十米到两三百米之外，这个距离有张地图就够了，规划路线反而多余。标记一个刷新点，会从你这里到它那里画一条直线。这条线是有意画成虚线的：它是方位，不是路线，它并不了解建筑物，而在这个距离上，方位往往就是走法。当你进入捕捉范围，它会自行消失，交由那个圆环接手。

刷新点会在一小时内过期。这是个游戏层面的决定，却带来协议层面的后果：下次启动时恢复出来的标记会指向不存在的东西，因此应用不做保存。

锚定，以及 AR 在这里的作用

这段相机画面既不是装饰，也不是验证本身。它做两件事。它把资产放在世界中一个可信的位置上，让「伸手去拿」成为一个动作而不是一次点击；它也给运动信号提供了可以彼此印证的东西，因为围着一个锚定物体走动的人，动起来像个人，而举着手机不动的伪造者不像。

一个为到场付费的协议，仍然需要一个促成第一次到场的理由。没有人会为了一套机制走四条街。游戏层是这个网络的需求侧，它的设计与验证同样坦白：概率是公开的，由服务器计算，而客户端从来不会被问「刚才发生了什么」。

捕捉

走到资产跟前并不等于它就归你。你按住不放时，充能环会一路填满，而这次充能的质量会喂给一个乘数。随后由服务器掷点。每个刷新点有两次机会，第二次只值第一次的 0.65，这个数字让第二次机会像是真的第二次机会，而不是安慰奖。

别人通常不会公布的那些项

大多数游戏会藏起修正项。这里没有理由这么做，因为有意思的性质在于：技术只能推一把，从不做决定。充能环是一个介于 0.85 与 1.0 之间的乘数，所以完美的一下点在传说级上仍是传说级，失手的一下点在普通级上多半还是普通级。

• 等级加成，每个玩家等级固定 0.3 个百分点的概率，从 Seeker 到 Legend 共十级。
• 冷却连击，一种补偿计数，每连续失手一次加 2 点，上限 12 点，对第二次机会同样生效，并跨币种累计。
• 连胜惩罚，在同一枚币上每连续成功一次减 4 点，上限 20 点，好让死守一个刷新点变得更差而不是更好。
• 战队加成，上限 5 点，由战队而非玩家个人赚得。
• 道具，买来或赢来，在其他各项相加之前先对基础概率做乘法。

成长体系，以及它的用处

等级、徽章、战队、十二小时挑战与每周目标，存在的意义是让这段路有一个比单次投放更长的形状。它们同时也在为协议干活：一个有等级、有战队、有连击记录的玩家，其账号带着一段历史，而历史要成规模地伪造是很贵的。成长是加在刷子头上的第二重成本，对诚实的玩家却不花一分钱，因为他反正本来就要玩。

一个以地点为基础的网络，如果地点都空着就一文不值。因此协议把资产投放当作一等的产品来对待，而不是内部工具。

三类发布方

• 品牌与场馆通过商业后台在自家门店投放优惠，并衡量谁真的来了。他们买到的单位是一次经过验证的到访，而不是一次曝光。
• 代币项目与 NFT 社区把东西分发给人而不是分发给钱包，用地理位置作为刷量难以低成本突破的过滤器。
• 活动主办方把音乐节、比赛或会议在活动期间变成一张可领取的地图，资产随活动结束而失效。

三者用的是同一个活动搭建器：放一枚图钉、设定半径、选择资产与数量、设定置信门槛与时间窗、注资、发布。没有对接开发，也没有合同要写。

密度问题

这里的供需是地理性的，所以通常那套市场平台的建议全不管用。一千件资产均匀撒在一个国家，在哪儿看都是一张空地图。同样这一千件放在一座城市里，就是出门的理由。因此投放定价按该区域的需求加权，而不是一口价：饱和的商业街比安静的街道更贵，协议因而补贴那些需要人流的街道，而不是本来就有人流的那些。

$SEEK 是协议的结算与协调资产。它之所以存在，是因为网络必须在互不相识的各方之间转移价值：一个国家的品牌出资，另一个国家的陌生人领走；也因为投放资产的成本，理应随所用地点的需求而变。

用途

• 活动注资，发布方以 $SEEK 计价并注资奖励。
• 投放费用，按投放的每件资产收取，依半径、时长与该区域的需求加权。
• 质押换优先级，当多个活动争夺同一坐标时，质押的 $SEEK 会抬高该发布方的投放优先级。
• 奖励，协议费用的大部分回流给那些真正走过去的人。
• 治理，涵盖参数调整、金库分配，以及高价值领取的置信门槛。

供应随时间的变化

分配饼图说明谁持有多少，却完全没说什么时候。下面这张时间表才是更有用的图，因为一枚代币的风险很少出在比例上，而是出在解锁悬崖上。

设计意图是让费用流跟随真实活动而不是投机：协议在资产被投放和被领取时才赚钱，而这只有在有人愿意为一次验证到访付费时才会发生。

这枚代币刻意不做的事

• 它不固定游戏内捕获单位与代币之间的兑换比率。游戏为一次捕获定价，市场为代币定价，协议并不假装能在两者之间架桥。
• 它不是游玩的必需品。捕获、经验和挑战都是免费的，一个从不碰代币的玩家，照样能产生发布方所付费购买的到访。
• 它不给投放设置最低持仓门槛。质押买到的是活动相互竞争时的优先级，而不是发布本身的资格。

一份只讲代币而不讲生意的白皮书，只描述了半个系统。收入有两条线，来自网络相反的两端，而这是有意为之：任何一条单独都撑不起它。

投放，由发布方支付

主线。发布方为奖励出资，并在此之上支付投放费用，按资产占据多大面积、占多久、以及那片地有多抢手来加权。这笔费用会随网络创造的价值一同增长，因为它是对发布方真正购买的东西收的：到访。

通行证与商店，由玩家支付

可选，且有意设限。赛季通行证为期九十天，把刷新权重向更稀有的币倾斜，含每周一次稀有领取和一份加成。单独的加成另行出售：稀有度加成、刷新磁铁、经验乘数，或三者的组合包。

为什么这样切分才对

玩家支出是有弹性的、有季节性的，也受限于一个人愿意为爱好花多少。发布方支出是一笔营销预算，要与一个存在真实替代方案的到访成本相比较。前者在早期撑住日常开销，那时玩家多于活动。后者才是这门生意最终的样子，而它成立的前提是前者永远不退化成付费获胜，因为一群什么都能抓到的付费玩家，报出来的到访对场所毫无价值。

这个协议有异常多的可调常数：半径上下限、置信门槛、投放费用的加权方式、返还给探寻者的费用比例，以及捕获阶梯本身。每一个都是披着配置值外衣的政策决定，而假装不是，正是许多协议最终被「最后改过文件的那个人」统治的原因。

分阶段的现状，实话实说

治理尚未上线。今天的参数由核心团队设定，通过有记录、可查阅的迁移来变更。我们不会把这称作去中心化，因为它不是。

推迟的原因不是不情愿。对一个没有成交量的经济体投票只是表演：参与度低，少数持有者说了算，而所议决的参数谁也没有足够的数据来判断。等到有了真实的费用流，治理才有意义，因为那时一次参数变更会带来可衡量、可争论的后果。

哪些交由治理，哪些不交

• 交由治理：费用加权、协议费用中归探寻者的比例、金库分配、半径上下限，以及高价值资产可选的置信门槛。
• 延迟生效地交由治理：任何会改变已投放资产价值的事项。一个按某套费率注资的活动，理应在同一套费率下结束。
• 不交由治理：第十三章中的隐私承诺。保留期限与拒绝公开行动数据不是参数，一次投票也不是削弱它们的正当途径。
• 不交由治理：单次领取的结果。被拒绝的领取属于争议处理的范畴，而不是投票的范畴。

一个因为你在某地而付钱给你的协议，等于在邀请人们谎称自己在那里。把攻击讲具体，比断言系统安全有用得多。

我们防御的攻击

• GPS 伪造，通过要求无线电环境与运动轨迹为定位背书，并借助能识别被篡改系统的设备认证来缓解。
• 女巫刷量，通过出行的实际成本，以及同一半径与时间窗内按设备限制领取次数来缓解。
• 中继攻击，即现场的真实设备为远端用户签名，通过把认证绑定到应用实例与会话，并对每台设备的领取频率限速来缓解。
• 模拟器农场，通过模拟器过不去的设备认证，以及与真实行走在统计上可区分的运动轨迹来缓解。
• 客户端自报刷新，这是被阻断而非缓解：只有服务器公布什么存在、在哪里，因此被改过的客户端可以谎报所见，却什么也捞不到。
• 重复领取，通过在评估之前先取锁来阻断，使两个人同时去抢最后一份时，不可能都被告知到手。

我们接受的局限

一个足够执着、手持改装硬件并亲自到场的攻击者，能从那一个地点榨出比诚实用户更多的价值。我们用每个地点的上限来限制损失，而不是假装这不可能。室内定位仍然明显不如室外准确，所以室内资产会用更大的半径，并更依赖无线电指纹。而且没有任何消费级设备能证明在场的是人而不是机器：放在送货车里的手机，动起来仍像口袋里的手机。

不属于攻击的风险

• 平台依赖。认证由苹果和谷歌给予。任一方的政策变动，都可能在一夜之间削弱这套栈中最强的信号，而且这件事没有任何绕开操作系统的做法。
• 链的可用性。链停下来就意味着领取排队。协议选择重试而不是丢弃，但站在街上的人并不会把重试体验成成功。
• 人身安全。奖励人们前往某地，就等于把人送到某地。资产放在道路交叉口而不是建筑轮廓之内，高价值投放避开私人产业，应用中也带有安全提示。这是一条设计约束，不是一句免责声明。

一份关于某人去过哪里的记录，会暴露他的家、他的工作、他的健康、他的信仰和他的关系。在位置领取之上建网络，就意味着要为此负责，而负责任的设计，是尽可能少地持有这些数据。

• 从不需要持续追踪。应用只在你尝试领取时请求位置，而不在后台持续获取。
• 原始的传感器与无线电数据仅用于为一次领取评分，随后按较短的保留期丢弃。
• 写到链上的，只是「在某个公开坐标上的一次领取成功了」，与一家店知道有人核销了一张券是同一类信息。
• 你的行动记录留在你的设备上。协议不需要它，也不想要它。
• 发布方拿到的是汇总数量，绝不是个人轨迹。

我们没有解决的问题

由于链的本性，领取记录是公开且永久的，因此执着的观察者可以把同一个钱包在不同地点的领取关联起来。这是一个真实存在的弱点，也是在公开账本上结算所固有的。想要避开的人，应当为不同场景使用不同钱包，应用把这件事做得很容易而不是藏起来，但一个需要用户先知道问题存在的默认设置，算不上真正的修复。

有三套规则同时触及这个协议，这并不常见，值得明说，而不是丢进一条脚注里。

数据保护

在多数现代数据保护法下，位置紧邻特殊类别数据，而协议是按最严格的解读来建的，不是按最省事的那种。位置在领取发生的那一刻、为已声明的目的被采集，只在评分与争议处理所需的时间内保留，且绝不被合并成行动画像。凡是法规赋予删除权的地方，链下记录可以删除；链上的领取记录不能，这是账本的局限，我们如实披露而不加粉饰。

代币的定性

$SEEK 被设计为实用与协调资产，第九章所述的用途是真实的，而非装饰性的。这是一个设计立场，不是法律结论。定性因辖区而异，也随时间变化，不是一份白皮书靠断言就能定下的。因此在当地规则要求的地方，我们会限制其可用性。

奖励、随机性，以及与博彩之间的界线

捕获包含一次掷点，这让它靠近一条各国划法不同的界线。有两项性质让它在多数辖区留在正确的一侧，并被刻意坚持：参与不花钱，而付费项目调整的是概率与速率，不是赔付浮动的赌注。通行证买的是权重，加成买的是乘数，两者都不是会输掉的下注。若某个辖区的理解不同，我们会撤下付费层级，而不是与之争辩。

SeekAR 已在 iOS 与 Android 上线，具备基于位置的投放、AR 渲染与社交钱包。验证栈目前跑的是 GNSS、设备认证与运动连续性三路信号；无线电指纹正在分阶段推出。设备认证在开关之后强制执行，这就是它诚实的现状：拒绝路径已经建好，而开关还没有对每一处界面都打开。

拖拽式的活动搭建器已经完成。接下来是把投放开放到协助式合作之外的自助商业后台，以及配套的到访分析。与之并行的还有代币生成事件、现场活动模式、赛季与实物扫描。等到真实的费用流足以让参数决定具有意义时，治理才会跟上，理由见第十一章。

我们不承诺的事

• 治理的具体日期。它取决于成交量，而成交量不是一个日期。
• 室内精度与室外持平。这是个难题，诚实的答案是在可预见的未来，室内继续使用更大的半径。
• 跨链部署。第五章中对延迟与成本的要求很窄，一条达不到这些要求的第二链，只会是营销决定而不是技术决定。

完整的分阶段拆解在路线图页面上，并会随着交付持续更新。

本文中出现的术语，取的是它们在这里的含义，而不是一般语境下的含义。