2015年六月，金融创新部门交出了资金监控方案的第一稿。
文件没有写怎样控制源币网络，因为远川咨询和客户都做不到。它写的是另一套东西：一家机构怎样判断进入托管账户的源币，怎样把公开地址和客户资料联系起来，怎样决定一笔兑换或转出是立即完成、暂时等待，还是交给人工检查。
李波在首页加了一张三层图。最下层是源币公开记录，只确认地址、数量、时间和状态；中间是服务商管理的账户与凭证；最上层是使用者在页面上看到的余额、兑换和转出按钮。
“这三层不能混在一起。”他对团队说，“底层已经确认，不等于服务已经放行。服务暂缓，也不等于链上的钱被冻结。”
新来的分析员问：“普通用户会在意这个区别吗？”
“等他的钱不能用时，就会在意。”
第一稿里，客户最看重的是风险分类。已知客户之间的往来可以直接进入内部余额；来自陌生地址、短期内多次分散转入或与已标记地址有过联系的资金，需要等待。金额超过一定范围，要由人工检查交易关系。
客户一共给了十八条判断条件。有些很容易理解，例如账户刚找回访问权便立即转出全部资金；有些只是经验，例如第一次收款就来自多个地址。条件后面没有写“坏人”或“好人”，只写分数。分数累加到某条线，页面便从绿色变成黄色。
团队用客户提供的匿名记录做了一轮回放。一家经营多年的维修铺因为更换收款地址，被标成新账户；另一名用户连续收到许多小额付款，是在出售自己制作的手工品。两者都进入等待。与此同时，一笔数额不大的失窃资金因转入熟悉地址，没有触发任何条件。
“规则会错。”新来的分析员说。
客户技术人员回答：“人工也会错。规则至少每次都一样。”
“每次都一样地错呢？”
“那就调规则。”
“谁发现？”
李波把这个问题写进会议记录。他们后来决定，每一次人工改判都要回到月度统计里，看哪些条件反复造成误判。客户同意统计，却不同意把完整记录交给外部人员检查，理由是里面仍能推断出商户行为。
李波接受了内部审计，又提出所有规则调整必须保留旧版本。这样至少能知道，一笔交易当时为什么被拦，而不会用今天的规则解释昨天的决定。
阈值由客户提出，远川负责验证流程能否运行。规则没有针对任何具体的人。它只看记录和账户行为，页面也不写“拒绝”，只写“延迟服务”。可李波知道，对于当天要付货款的人，延迟本身就是一道门。
李波把这个词圈了出来。
“延迟多久？”
客户项目经理说：“通常不超过两个工作日。”
“超过呢？”
“继续人工判断。”
“谁来判断？”
“风险团队。”
“如果风险团队维持原决定？”
“那就等客户补材料。”
“客户认为材料已经齐了呢？”
对方翻到下一页：“可以投诉。”
投诉入口在服务协议最后。用户先在线提交，五个工作日内收到回复。回复仍由风险团队出具。
李波把文件合上：“同一批人做第一次决定，再判断自己有没有错，这不叫复核。”
客户项目经理没有反驳，只问：“你想再加多少人？”
这句话让会议从原则回到预算。一名独立复核人员意味着额外工资；双人检查会延长处理时间；公开判断依据可能让刻意绕开规则的人更容易试探边界。每一项保护都能算出成本，每一道限制也都能找到风险理由。
李波提出三项修改。
任何延迟和拒绝服务的动作都要记录操作者、时间、依据和当时使用的规则版本。超过承诺期限的事项必须转给没有参与第一次判断的人复核。面向用户的页面要用一张单独说明，写清“链上记录已确认”“服务账户待处理”和“可以申请复核”分别是什么意思。
客户接受了前两项，第三项只愿公开大类，不公开具体阈值。
“数值一旦公开，会有人专门卡在下面。”项目经理说。
“不公开数值，用户怎么知道自己为什么被拦？”
“告诉他属于哪类风险。”
“类别可能很宽。”
“宽一点，系统才有调整空间。”
顾建川一直坐在桌角听。他等双方说完，问李波：“不公开阈值，这个项目能不能做？”
“能做。”
“能不能留下审计记录？”
“能。”
“能不能让另一个人复核？”
“能。”
“那就先做。”
李波说：“用户仍然不知道自己离那条线有多远。”
顾建川把项目时间表推到他面前。“我们可以让门的位置看得见，不能把每一把钥匙的齿形都贴出来。你觉得公开得还不够，就把缺口写进交付意见。客户愿意承担什么，由客户决定。”
“使用者承担的部分呢？”
“所以才要复核和申诉。”
李波看向那张时间表。试点原定七月开始，已经因为方案争议推迟两周。客户的技术团队和柜台培训都在等待。继续争下去，顾建川也许会让项目委员会直接决定，或者换一个负责人把范围缩回最初那五行需求。
他在“同意进入试点”下面签了名字，同时附上保留意见：规则公开不完整，复核仍由服务商内部完成，用户缺少等价的替代入口。
顾建川看过，没有要求他删。
“这就是你要的透明？”客户项目经理问。
“这是透明的一部分。”李波说。
“另一部分是什么？”
“让使用者知道它不能替他解决什么。”
那张面向用户的说明最后被压缩成一页。团队删掉协议术语，把三个状态分别画成不同颜色的框。绿色表示公开记录已确认，黄色表示服务正在检查，灰色表示需要补充材料。右下角列出复核入口、预计时间和服务方承担的责任。
工程师私下把它叫作“透明的防火墙”。这名字并不准确。它不能保护整个网络，也挡不住所有有问题的资金；它只是让机构设下的边界尽量留下痕迹。可大家叫顺了，连内部文件名都逐渐变成了“透明边界试点”。
七月，试点先在两个商户服务点开放。陈晓燕所在的设计机构恰好负责其中一个服务点的空间改造和指引更新。合同签订时，后端结算项目尚未确定，她也是看到现场资料里的流程图，才认出它和李波带回家的那些问题有关。
“需要回避吗？”她在项目启动前问自己的主管。
主管看完她提交的关系说明，说她不参与结算规则，只检查柜台、告示和等候区，可以继续，但所有观察记录要由另一名同事共同确认。
陈晓燕把这件事告诉李波。
“你们客户知道吗？”她问。
“知道远川负责后端方案，不知道我们是夫妻。”
“那就告诉他们。”
李波第二天补交了关系说明。客户没有要求任何一方退出，只规定两人不能私下交换未公开资料。陈晓燕后来去现场，没有问他系统怎样判断；李波也没有看她尚未交付的观察记录。
服务点在一条批发街旁边，原本办理商户开户、结算和设备维护。改造后，入口宽了，排队方向也更清楚。墙上的新告示按办理事项分成几种颜色，字体比以前大，等候区多了两张有靠背的椅子。
项目启动前，陈晓燕跟着柜台人员上了一次培训。工作人员的操作手册有二十多页，能看到用户处于哪一种状态，却看不到系统如何得到风险类别。遇到黄色状态，他们只能核对材料、选择缺少哪一项，再把申请送往风险团队。
“申请人问为什么是黄色，怎么回答？”陈晓燕问。
培训人员指向手册：“告知他交易需要进一步确认。”
“他问进一步确认什么呢？”
“按页面提示补材料。”
“页面没有显示哪条行为触发了检查。”
“具体条件不能在柜台公开。”
陈晓燕没有继续追问技术。她在自己的图纸上增加了一个小桌面，方便来办事的人整理票据；又把复核资料从最远的墙边移到窗口附近。这些改动能让人少走几步，却不能让柜台人员多知道一句理由。她把这一点单独写在现场风险里：工作人员承担解释责任，但没有解释决定所需的信息。
陈晓燕第一天到场，先从门外走了一遍。玻璃门不重，轮椅可以通过；取号机的按钮高度合适；复核申请放在最右侧的资料架上，标题清楚，但资料架前正好摆着一盆高大的绿植。
她让施工人员把绿植移开二十厘米。
上午十点以后，队伍开始变长。一位经营小型印刷铺的男人在三号窗口站了很久。他带来一叠送货单、一张手写收据和手机里的转账记录。柜台人员看完，把材料还给他，说还缺付款方的交易关系证明。
“钱不是已经到了吗？”男人指着手机，“这里写着确认了。”
“链上的记录确认了，服务账户还在检查。”
“那我今天能不能转给纸张供应商？”
“现在不能。”
“什么时候能？”
“材料齐了以后，通常两个工作日。”
“对方是临时来做活动的，我只知道联系人。活做完，人已经走了。我到哪里找证明？”
柜台人员把黄色状态说明推给他：“可以申请复核。”
男人把手机递到窗口前，里面有对方确认数量和交货时间的聊天记录。柜台人员仔细看完，说截图可以作为补充，但还需要能对应到付款地址的材料。男人又拿出手写收据。收据上有项目名称和金额，没有付款人的正式名称，也没有盖章。
“我收这笔钱的时候，页面没有说以后要这些。”他说。
工作人员在电脑里查了几次，只找到开户时同意的服务协议。协议写着服务方可在必要时要求交易证明，没有列明所有可能需要的文件。
“规定里有。”她说。
“我知道有规定。我问当时为什么不让我先知道要留什么。”
窗口后的人张了张嘴。她没有参与制定规则，也无法回到几天前提醒他。
男人看了一遍，问：“复核多久？”
“五个工作日内回复。”
“我下午四点要付纸款。”
柜台人员没有权限改变期限，只能再次解释流程。她说得耐心，每一句也都符合培训手册。男人没有发火。他把送货单重新装进文件袋，走到等候区打电话，问供应商能不能把付款推迟一天。
电话那边没有答应。
他又打了两个电话，最后向隔壁商铺借到一部分现金。中午离开时，他在复核申请上签了名字。工作人员把回执递给他，回执写着提交时间、受理人员和查询方式，一项不少。
他刚走出门，下一位商户的页面就变成了绿色。那是一家经营了三年的布料店，收款地址一直没有换过，最近几个月的付款方也都能在店里的送货单上找到。她带来的金额比刚才那笔更大，柜台人员只核对了两项材料，便告诉她可以转出。
“她不用等？”陈晓燕问。
“她的账户有连续记录，付款方也能对应。”工作人员说，“规则不只看金额，主要看这次能不能解释。”
陈晓燕点了点头。这个解释没有错，却让她想起刚才那名印刷铺老板：一个人已经在这个入口里经营了几年，过去的记录可以替他作证；另一个人第一次换地址，必须先证明自己没有做错。两个人都读得懂黄色说明，能承担的等待却不一样。
排在他后面的一位商户看完整个过程，轮到自己时先问：“是不是只要收源币，都可能要等五天？”
工作人员解释，大部分交易会正常处理，只有达到检查条件才会等待。
“什么条件？”
“系统会根据账户和交易情况判断。”
那位商户点了点头，把原本要咨询的源币收款服务宣传页折起来，改为办理另一项业务。她没有投诉，也没有被系统拒绝。试点统计里不会出现她，因为她在进入以前就放弃了。
陈晓燕全程没有插话。她在记录本上画下男人走过的路线：取号、柜台、资料架、等候区、再次回到柜台。复核入口并不难找，告示也没有小到看不清。问题是他找到入口以后，仍然没有一个人可以告诉他，今天的钱能不能用。
下午，她问柜台人员：“如果申请人等不了五天呢？”
“可以标注紧急。”
“标注以后多久？”
“由风险团队决定。”
“他能直接联系复核人员吗？”
“不能。为了避免干扰判断。”
“如果他想把源币转出这个服务，自己处理呢？”
“账户在检查期间不能转出。”
“告示上写了吗？”
工作人员找了一会儿，在服务协议背面指给她看。那一行没有隐藏，字也能读清，只是夹在十几条账户限制中间。
陈晓燕在记录本上写：看得见，不等于找得到；找得到，不等于来得及。
她很快把“来得及”三个字圈掉，改成：申请人当天需要支付货款，现有复核期限无法满足。
这是设计报告，不是宣言。她只写现场发生的事。
第二周，陈晓燕把初步观察交给客户。她建议在状态说明上直接写出限制：检查期间不能兑换或转出；紧急申请由谁接收、最迟何时回应；如果维持原决定，用户还能做什么。她也建议柜台人员不要反复说“系统显示”，而要说明是哪一支团队作出的判断。
客户接受了前两项，拒绝提供复核人员的直接联系方式。他们担心工作人员受到压力，也担心不同商户争抢“紧急”资格。
李波在例会上看到这份匿名化记录。案例里没有姓名和店铺地址，他仍然从纸张供应商和服务点动线猜到可能来自陈晓燕的项目。
团队调出审计记录。那笔资金因来自一个新出现的外部地址，被规则列入人工检查。柜台受理时间、规则版本和操作人员都记得很清楚。第二名复核人员在三个小时后看过材料，维持原决定，理由是无法确认付款方与商户的交易关系。
复核人员没有做错程序。他能看到第一次提交的全部材料，也能查看触发检查的类别，却只能在“通过”“补充材料”和“继续等待”三个选项里决定。商户下午要付货款这件事被写进备注，不属于改变风险类别的依据。
“如果复核的人认为现实损失更大呢？”新分析员问。
项目经理说：“他可以写备注，不能因此忽略交易关系证明。否则同样的风险会因为谁更会说明困难而得到不同结果。”
“那复核是在检查第一次有没有照规则做，还是重新判断这笔交易该不该等？”
这两个问题在流程图上原本使用同一个框。团队到这时才发现，他们增加了第二个人，却没有给第二个人不同的判断范围。
“流程有没有执行错？”顾建川问。
“没有。”项目经理说。
“复核是不是由另一个人完成？”
“是。”
“用户有没有收到理由？”
“收到了。”
会议室里没有人说这是一次成功。也没有哪项数据能证明决定一定错误。付款方的地址确实陌生，商户也确实拿不出标准合同。放行可能带来客户不愿承担的风险；不放行已经让一个人的生意出现了当天的缺口。
李波问：“后来怎么样？”
项目经理说：“第三天补充材料后通过。没有资金损失。”
陈晓燕的记录写着，商户为此借了现金，答应多付一天费用。那笔费用不在服务商的损失统计里。
李波把两页材料并排放着。一页证明程序按照设计运行，另一页记录程序之外的代价。它们没有互相推翻，只是算的不是同一件事。
“规则要不要改？”工程师问。
客户不愿取消陌生地址检查。李波也不能证明所有陌生地址都应该直接通过。他把商户已有的历史交易、现场票据和紧急付款期限列成修改建议，要求客户先说明哪些可以纳入人工判断，哪些只能留在记录里。
“记录了又怎样？”顾建川问。
“至少以后能知道这条规则伤到了谁。”
“知道以后呢？”
“再决定要不要调整。”
“那这次试点继续吗？”
李波看着审批页。停止试点会解除这一家服务商的监测，也会同时取消账户找回、争议赔付和面向普通商户的简化操作。继续，则意味着下一位材料不齐的人仍可能等待。
“继续，但先不扩到新的服务点。”李波说，“现有两个点保留账户找回和争议赔付，新增地址的检查要把历史交易、现场票据和当天付款期限交给复核人员看。申请人最后放弃、借钱或错过付款，也要记进记录。一个月后，我们用这些记录重新评估。”
项目经理皱眉：“借钱的数额不一定查得到，客户也不会愿意把经营情况全交出来。”
“那就记录已经知道的部分，别把不知道写成没有发生。”
顾建川问：“客户接受这些条件了吗？”
“他们接受记录和复核，不接受把复核人员的联系方式直接给商户。”李波说，“所以我只批准现在的范围，不批准下一步扩张。”
他在审批页的“继续”后面签下名字，又把“一个月后重新评估”和“不得自动扩点”写进附注。这个决定仍可能让下一个人等待，却至少把继续的期限和他愿意承担的部分留在了纸上。
晚上回家，陈晓燕已经知道试点会继续。她坐在餐桌旁修改另一处服务点的图纸，没有质问，只把那张黄色状态说明放到李波面前。
“这是你们写的？”
“团队一起写的。”
“比以前清楚。”
“现场还是有人看不懂？”
“他看懂了。就是因为看懂，才知道自己什么也做不了。”
李波把说明翻到背面。“有复核。”
“复核的人用了同一条规则。”
“他们不能因为一个人着急，就忽略来源不明的风险。”
“我没让他们忽略。”陈晓燕停下笔，“我只是在现场看见，一个人今天要付货款。你们看见的是第三天资金没有损失。你们说的都是真的，可他借钱多付的费用，哪张表里都没有。”
李波没有找到那张表。
李晓雨从房间出来倒水，听见最后几句。她拿起状态说明，看完正面，又翻到背面。角落印着试点方案的责任单位，远川咨询排在其中。
“这个规则是你定的吗？”她问。
“不是我一个人。客户提出需求，我们设计流程，最后由项目委员会和客户确认。”
“你同意了？”
“我加了记录、复核和公开说明。没有这些，服务方可以把人拦住，却不用告诉他为什么。”
“现在告诉了，然后呢？”
“他可以申请复核。”
“复核以后还是不让他用。”
“这一个案例只说明规则有代价，不能说明每个陌生地址都应该直接放行。”
李晓雨把纸放回桌面。“你没有改源币，也没有把全网的钱停住。可那个人要把源币变成今天能付货款的钱，只能经过你们的入口。”
“这是他选择使用的服务。”
“如果别的入口更贵、更难，或者根本没有呢？”
这是留白在论坛上问过的问题。李波曾经回答，困难会让选择不平等，但不会让选择变成假的。此刻他看见妻子记录的路线图，那个男人走遍了所有公开入口，最后仍回到同一个柜台。
“我留在项目里，至少能让这道门留下记录，也能改。”他说。
“可你也帮他们把门装好了。”
李晓雨说完，等了一会儿。李波没有否认。
她没有提高声音，也没有回房间发帖。她只是看着父亲，像在确认一个不愿确认的判断。
“我觉得你已经越过了。”她说。
虚构声明
《链》是一部虚构小说。文中人物、机构、政治共同体、城市、货币、技术及事件均为文学创作；如与现实中的名称、人物或事件相似，纯属巧合。作品不构成任何投资、法律或技术建议。
订阅《链》：https://www.790427.xyz/subscribe.html