Chương 19 — Cơ chế token và quy tắc lưu chuyển

第十九章　通证机制与流转规则

通证可以把部分制度安排表达为共同可核验的单位和状态，并让取得、持有、使用与转移按照明确规则发生。它因此可能成为利益相关者资本治理的一种工具。但通证的作用取决于它究竟承载什么、由谁履行相应义务，以及流转怎样影响原有关系，不能仅凭发行了一种数字单位就判断共同创造已经获得了新的资本基础。

上一章区分了权益结构、表达形式与权利转移。本章进一步讨论，当组织决定采用通证时，怎样把制度内容落实为单位属性和生命周期规则。通证机制需要回答的不只是如何分发，还包括哪些条件允许取得、哪些操作受到限制、状态怎样改变，以及这些安排怎样影响参与者的行动。

本书将贡献激励、交易价格和企业价值分别讨论。通证可以影响激励，也可能产生市场价格，但它们与真实贡献、组织能力和可分配资源之间都需要具体机制连接。通证设计的质量，应当由它是否改善这些联系来检验。

一、何种制度需求适合通证表达

通证表达首先适用于某些能够清楚界定为单位、需要共同维护状态并按照规则行使的安排。单位可以描述一定范围的使用额度、某项制度下的参与资格或特定权益的份额。采用之前，需要说明每个单位意味着什么，适用哪个范围，以及哪些主体承认并履行相应安排。

单位化并不是单纯选择一个名称和小数位数。若不同单位在期限、义务、使用限制或权益内容上有实质差异，就需要保留这些差异。只有当制度允许在有关用途下按相同单位处理时，数量汇总才具有清楚含义。数学上可以相加，不足以证明制度内容可以合并。

需要防止同一额度被重复使用，是通证可能发挥作用的一个方向。在参与者遵守同一协议和安全条件的范围内，共同状态可以记录额度由谁控制、是否已经使用，以及哪些请求应当被拒绝。若所对应的资源和权限仍由外部系统管理，还需要把链上状态与实际服务衔接。

多方需要识别同一种单位，也是采用通证的可能理由。标准接口可以减少不同工具理解余额、授权和转移方式时的技术差异。ERC-20 规定了余额、总量、转移和授权额度等基本接口，支持相关通证与应用交互；它并不规定这些单位必然代表哪一种经济或法律权益。Ethereum：ERC-20 通证标准〔1〕

需要在符合条件的主体之间流转时，通证还可以帮助记录原控制状态的变化和新控制状态的成立。这种能力能够服务于某些资源调配和权益安排，但转移对象、转入资格及外部履行条件仍需明确。接口通用，只说明操作可以被技术理解，不说明所有组织对其权利内容具有相同认识。

通证也可以用于受到严格限制的参与安排。制度可能只需要验证资格或记录使用，而不需要公开交易。是否开放转让、允许何种用途以及由谁维护资格，应当按实际需求决定。采用通证并不要求同时建立一个面向所有人的市场。

对于主要依赖身份、专业职责或细致例外判断的安排，普通账户和数字凭证可能已经足够。若制度并不需要单位之间流转，也没有多方共同维护状态的必要，增加通证可能只是增加密钥、交易费用和恢复成本。技术选择应当比较它实际解决的问题和新增负担。

本书建议在采用之前回答三个相互联系的问题：没有通证时，哪项协作困难难以处理；通证的具体机制怎样改善这一困难；这种改善需要哪些现实资源、制度责任和持续维护。回答应当能够被实际效果检验，而不是停留在“增强共识”或“激活生态”等笼统目标上。

通证还需要明确表达的层次。贡献记录说明发生过什么，资本记录说明形成了哪些可持续条件，权益通证则只能在适当依据下表达相应权益。若将三者混成一种单位，就可能让购买者看起来取得他人历史贡献，或者让未经确认的贡献自动变成可转让权益。

不同层次可以通过规则联系，但转换本身需要有条件。贡献确认可以使参与者进入某种激励安排，满足进一步条件后取得相应通证；通证被使用或兑现，又可以产生新的业务记录。每一步都需要说明依据，不能只以通证余额变化代替全部制度过程。

组织还应当确认通证承诺可以被持续支持。若单位对应服务，需要有服务能力；若单位关联经济请求，需要有明确履行安排；若用于治理，需要有实际决策程序。技术上能够无限创建数字单位，不意味着组织能够无限扩大相应能力或义务。

规则制定者和技术管理者的权限也应当进入设计。谁可以增加发行、改变使用条件、限制地址或替换执行逻辑，都会影响持有者的预期。公开说明这些权限，并使重要变更受到相应程序约束，是通证表达制度内容的一部分。

因此，通证适合承载的是能够被明确说明、共同核验并实际履行的部分制度关系。它的优势应当落在具体协作环节上。若真实困难来自目标不清、贡献无法确认或义务无人承担，增加一种可流转单位并不会自行解决这些问题。

二、可替代性、可转让性与身份绑定

可替代性、可转让性与身份绑定是三个不同维度。可替代性回答同类单位在有关用途下能否相互替换；可转让性回答单位或关联权益是否可以由一个主体移向另一个主体；身份绑定则说明有效持有或行使是否依赖特定主体及其资格。三者可以形成不同组合。

可替代性需要以实际权利内容为依据。数量相同、有效期相同且使用条件一致的单位，可以在相应范围内按同类处理；若发行批次、请求顺位、资格或限制不同，就需要检查这些差异是否影响替代。相同符号或同一合约地址不能自动抹去制度上的不同条件。

非同质化的标识则帮助区分特定对象，但唯一编号本身不保证现实对象唯一，也不保证其他系统没有发行与其重复关联的凭证。编号解决识别，实际对应关系仍需核验。不能把技术上的可区分性直接当作全部权利的排他性证明。

可替代性也不等于开放流通。同类额度可以仅供合格成员持有，彼此具有相同用途，却受到转让限制；某个独特对象的凭证则可能按规定允许转让。将“同质化”直接等同于自由买卖，会跳过参与资格和权利性质的判断。

可转让性需要明确对象、范围和条件。是转让全部单位，还是允许部分额度转移；是所有合格主体之间可以流转，还是必须经过一定审核；是否受期限、事项或总量限制，都需要在规则中说明。技术执行应当与这些条件对应，不能只保留一个不加区分的转移按钮。

身份绑定可以服务于成员资格、专业权限或不可转移的历史承认。有效行使可能依赖自然人、组织或特定关系，系统需要核实这种联系，而不是仅把某个地址永久列入名单。地址控制者可以变化，主体也可能需要更换操作工具，二者不能预设为永远一致。

ERC-5192 为与账户绑定的非同质化通证提供了最小接口：在锁定状态下，相应合约中的通证转移功能应当拒绝执行。这说明协议可以表达一种转移限制，但账户锁定本身不构成自然人身份核验或唯一性证明。Ethereum：ERC-5192 最小账户绑定通证接口〔2〕

技术上的不可转让也不宜被解释为任何经济控制都绝不可能变化。托管关系、账户控制或代理安排仍可能影响谁实际作出操作。制度如果关注的是特定主体持续参与，需要核验主体和关系状态，并检查允许的代理范围，不能只依赖单一转移函数是否开放。

身份绑定还必须容纳恢复。丢失密钥、更换设备或调整组织经办人，可能需要迁移操作能力，而不是把原权益永远锁在无法使用的地址上。恢复程序应当确认原主体、限制旧操作手段并保留关联记录，使技术接续不会造成新增资格或不当转让。

关系终止与历史记录的意义也要区分。任职资格结束后，可以停止与该角色相关的新增操作；曾经完成的贡献仍然可以作为历史事实保存。将资格凭证撤销，不应自动表示贡献从未发生，也不宜把历史承认设计成持有者永久公开全部关系的负担。

隐私保护需要说明哪些身份联系必须向谁证明。系统可以在限定事项中核验资格，并只提供必要信息；防止重复取得某项资格，也不必默认公开全部账户关系。身份绑定的目标是使适当主体行使适当权限，而不是扩大无关观察。

同一主体拥有多种通证时，各种绑定和流转条件需要分别维护。可以转让的经济权益，不应因同时持有不可转让资格就被混成一项整体；资格终止，也不应无依据地带动所有其他权益消失。不同状态之间的联动必须来自明确规则。

治理资格尤其需要考虑转让带来的权力变化。若表决权直接随可交易单位移动，制度就选择了一种以该单位持有状态配置权力的方式。它能否代表不同利益相关者，需要另行论证；有足够资源取得通证，不等于已经具有相同的贡献、责任或代表关系。

本书据此主张，先逐项确定单位是否可替代、是否允许转移以及是否依赖身份，再选择相应的技术形式。对这些维度的分别设计，能够同时容纳资源流动、身份连续和稳定承诺，也有助于在条件变化时只调整必要的部分。

三、发行、归属、锁定、撤销与销毁

通证生命周期需要同时表达技术操作与制度决定。发行涉及单位如何产生并进入安排，归属涉及参与者何时满足取得或保留有关权益的条件，锁定限制特定操作，撤销改变某项资格或有效状态，销毁则按实现方式减少或终止相应通证单位。它们可能相互联系，但不能被当作同一过程的不同名称。

发行首先需要有明确权限和用途。谁能够决定发行、依据什么规则、面向哪些事项以及受到什么总量或期间限制，应当可以核查。技术人员能够调用创建单位的功能，并不构成其自行决定新增权益的依据。发行规则应当与上一章的权利内容及履行责任相衔接。

制度上的发行批准、技术上的铸造和向参与者分配，也需要分别记录。可以预先创建一批单位并由组织保管，再按条件分配；也可以在有关条件满足后创建相应单位。预留在合约或组织账户中的通证，不应全部被展示为参与者已经取得的权益。

新增单位的影响需要按其功能判断。如果某项安排按单位占比配置有限资源，增加参与单位可能改变原有持有者的相对比例；若单位对应新增服务能力，则需要检查能力是否同步形成。发行增加并不自动意味着资本增加，也不能保证有关义务获得了更多履行资源。

归属在本章中主要指，依据既定条件确认参与者对有关通证或关联权益的取得安排。它可以取决于时间、已确认贡献、持续参与或明确的里程碑。制度应当说明归属的对象，以及它对取消、转移和履行有什么影响，不能把一个技术字段直接当作全部法律归属的结论。

条件归属需要证据和确定程序。时间经过可以由系统处理，交付质量或持续履行则可能需要外部核验。满足部分条件时，可以按照约定确认相应部分；尚未满足的部分应当保留其条件状态。不能因为单位已经创建，就跳过贡献确认和必要的业务判断。

归属、释放与可转让也可能不同步。参与者可以已经满足取得条件，但仍受一定期间的转移限制；某项单位可以具备领取条件，却尚未被实际领取。系统应当分别表达已归属、可领取、已领取和可转让的范围，使持有者理解哪些动作目前可以完成。

智能合约可以执行部分时间安排。OpenZeppelin 的归属钱包提供按约定时间表释放资产的机制，其文档同时指出，该钱包的控制权可以转移，因此锁住资产并不保证关联的未归属经济安排完全无法被转移。本书据此强调，应当检查完整的控制关系，而不仅是表面的释放日期。OpenZeppelin：归属钱包及时间安排〔3〕

锁定需要说明限制的具体操作。禁止转出、暂停领取、限制使用或停止某类授权，具有不同含义。已经锁定的通证是否仍可参与某次治理或其他安排，也需要单独规定。锁定期限、解除条件及紧急处理权限，应当随状态一起清楚呈现。

锁定可以帮助执行时间承诺或保留争议处理条件，但不能单凭锁定推定忠诚、真实贡献或履行能力。参与者暂时无法转出，不说明其必然持续提供有效工作；流通数量暂时减少，也不保证价格上升。制度应当根据需要限制操作，而不是把限制本身作为价值创造的证明。

撤销需要明确针对哪一项制度状态。可以撤销某个资格、未满足条件的分配安排或已被认定错误的确认，但各自依据不同。已经归属的部分是否可以调整，需要适用规则和相应程序；管理员能够技术上冻结或移除记录，不意味着其可以任意取消既有权益。

撤销操作授权又与撤销权益不同。停止某个代理人代为转出的权限，通常只是改变操作条件；有关权益是否仍由原主体享有，需要保留原有依据。系统应当区分这类操作，避免用同一个“撤销”标记掩盖不同后果。

销毁则需要核实实际实现。通过具有相应逻辑的销毁操作减少记录中的总量，与把通证转入一个通常无法使用的地址，不一定具有相同的供应记录效果。应当说明哪些单位已经在协议中终止，哪些仍被计入总量但无法正常流通，而不能只凭展示标签判断数量变化。

销毁也不自动等于履行。在某些安排中，消耗或销毁单位可以是领取服务的一步，但还需要确认服务是否提供；在其他安排中，销毁可能只意味着持有人放弃某项技术单位。它对关联权利和义务有什么效果，应当由制度说明，不能概括为销毁后全部责任都消失。

数量核对需要采用清楚口径。发行上限、已创建总量、组织保管数量、已分配数量和实际可流通数量，可以分别有意义，却不是可以互相替换的概念。针对固定计量单位且没有其他自动增减机制的系统，可以将期初数量、新增和销毁进行核对；存在其他机制时，需要单独解释其影响。

迁移和跨系统映射还应当检查重复表达。原系统中的单位被锁定，新系统中出现关联单位，可能是同一安排的不同技术表现，不能直接视为两份新增权益。需要说明兑换、解除和失效条件，并通过核对避免重复使用。具体跨组织衔接将在后续章节进一步讨论。

整个生命周期都需要保留规则版本、决定主体、时间、对象和结果。异常操作、条件争议或系统中断时，应当能够恢复到可解释的处理状态，并使受影响主体获得必要说明。通证机制的完整性，体现为各个环节能够对应制度，而不是只有发行和转移两种动作。

四、贡献激励、交易价格与企业价值的区分

贡献激励关注制度怎样影响参与者的行动。通证可以使获得资格、使用资源或参与某项回报的条件更清楚，也可能降低部分核验和分配成本。但参与者是否因此作出更有用的贡献，仍取决于认可是否可信、条件是否合理，以及相应安排能否实际履行。

激励需要先明确希望促进什么。提高交付质量、支持知识共享、维持长期协作与鼓励必要维护，可能需要不同规则。若只按活动次数发放，参与者可能优先增加可计数动作；若只奖励可见结果，支持性工作又可能被忽略。发放机制应当返回前几章形成的贡献确认与计量条件。

通证激励也不必全部依赖出售。某些单位可以用于适当的资源使用、参与机会或其他明确安排。参与者愿意取得单位，可能来自这些功能，也可能来自对未来交易价格的预期。制度需要说明预期建立在什么基础上，不能把依赖买方接手的安排表述为组织已经保证的回报。

奖励来源应当能够追溯。组织从已经持有的通证中分配，与新增发行，是不同的数量变化；支付真实经营资源，与发放一项未来有条件资格，也具有不同后果。发放了更多单位，只说明完成了相应技术或制度动作，不自动说明参与者获得了等额可支配资源。

若单位使持有人参与某个有限资源池，新增发行还可能改变相对份额。评价激励效果时，需要同时考察新增参与是否扩大了真实创造基础，以及有关分配条件是否保持清楚。不能仅用每期奖励数量证明参与者不断增加财富，也不能把所有新增发行一律视为没有组织作用。

交易价格回答的是在特定市场条件下，买卖双方以什么条件完成交换。它受到供求、流通限制、预期和交易条件影响，可能吸收关于真实作用的信息，也可能与经营情况显著偏离。价格上涨不能单独证明贡献增加，价格下降也不能直接否定已经核验的履约事实。

市场报价还需要结合成交规模理解。Uniswap 的说明指出，交易对流动性池价格的影响与流动性有关，较低流动性可能对应较大的价格冲击。这说明一个显示价格不能直接代表任意数量都能按同样条件成交。Uniswap：价格冲击与流动性〔4〕

以某个参考价格乘以流通数量，可以得到相应口径的流通市值估计；采用其他供应口径，则必须另行说明。这样的计算并不等于全部持有人可以同时获得同额现金，也不等于组织已经拥有这些资源。少量成交形成的价格，不能被无条件应用于全部单位的兑现。

二级市场交易中的资金通常由买方向卖方支付，具体费用另按交易安排处理。它不因交易对象与企业有关，就自动成为企业收入。企业取得的发行资金、服务收入、交易费用及其承担的相关义务，也应当分别核算，不能把所有资金流入都解释为已经创造的利润。

企业价值则需要结合持续经营、资源和能力、未来经济作用及其实现条件分析。通证可能只对应其中一项用途或一部分安排，也可能没有对企业整体价值的直接请求关系。因此，通证市场估值与企业价值之间，需要先说明具体权利和经济联系，不能直接画等号。

即使通证关联某种收益安排，其价格也不因此成为精确的经营评价。分配范围、优先条件、期限、风险和市场流动性都会影响解释。持有人取得的是哪种请求或资格，需要回到权益结构，而不能仅凭单位能够交易就推断其等同股权。

贡献、价格与经营能力之间可以形成实际联系，但需要逐步验证。制度激励可能支持有效投入，投入可能形成可持续能力，能力可能改善经营结果，而有关结果又可能影响权益履行和市场预期。每一步都有条件，也可能中断，不能只凭价格变化倒推出整条联系已经成立。

价格信号还可能反过来改变协作。短期交易受到过度关注时，维护、培训和长期探索可能被挤压；若市场转移与治理权紧密绑定，购买行为还可能改变决策结构。组织需要辨认这些变化是否符合共同创造目标，而不是只以交易活跃衡量制度成功。

锁定、销毁和回购等安排同样需要回到具体效果。减少某种口径的可流通数量，不保证需求、经营能力或履行资源增加；使用组织资源支持市场交易，也需要说明授权、资源用途及其对其他义务的影响。供应操作与价值创造应当分别评价。

评价通证机制时，应当同时观察贡献质量、履行可靠性、参与者实际取得的利益、必要协作是否持续以及运行成本。交易价格和活跃度可以作为特定观察信息，但不足以替代这些指标。还可以在条件适当时与不采用通证的安排比较，检查改善究竟来自通证机制还是其他组织变化。

本书尤其重视参与者能否理解自己的选择。奖励数量、归属状态、转移限制、实际用途和实现条件应当分别可查，不能只显示一个随参考价格变化的“总价值”。透明表达不是要求展示所有技术细节，而是使参与者能够判断自己取得了什么、还依赖什么。

面向未来，本书提出一个需要检验的方向：让通证机制围绕真实贡献、可用能力和可履行权益形成反馈，并允许治理根据证据调整规则。调整需要保留授权、版本和稳定承诺，不能让价格算法或短期指标自行改写参与者的权利。若机制只增加发行和交易，却没有改善共同创造，就应当重新判断其必要性。

通证由此被置于利益相关者资本治理的具体位置：它可以表达单位、约束操作并支持部分协作，但不代替贡献事实、资本形成和价值判断。单位能否正确流转与组织能否持续创造，需要分别检验，再通过清楚的权益和履行安排建立联系。

下一章将转向收益核算与分配执行，进一步讨论哪些资源可以进入分配，谁在什么期间符合条件，以及链上记录如何与实际支付对账。只有来源清楚、计算有据并完成相应履行，制度中的回报安排才真正进入共同创造者的现实生活。

定稿补强：通证按经济实质而非名称处理

同一种通证标准可以承载完全不同的制度关系，不同技术标准也可以表达相似义务。因此，发行人与持有人都应根据取得方式、权利义务、业务模式、流动性、赎回、减值、终止和披露要求分析处理，而不能建立一种适用于所有通证的会计或法律结论。

发行、归属、锁定、撤销与销毁应分别影响技术状态和基础义务。销毁一个技术单位不当然消灭发行人的链下责任；撤销资格也不能无依据地消灭已经成立的请求。需要合规识别的价值流转，应采用第十三章的分级身份方法，避免一方面让高风险流转无法追责，另一方面为低风险参与过度收集数据。

本章注释

1. [SRC-024] Ethereum Improvement Proposals：ERC-20 通证标准。原文或官方页面

   • 本章引证：Ethereum：ERC-20 通证标准。
   • 支持范围：用于确认标准或技术规范对数据结构、验证条件、协议流程及接口语义的明文规定，本书引用主题包括：Ethereum：ERC-20 通证标准。
   • 使用边界：符合技术规范只说明相应格式或过程条件，不自动证明链下事实真实、权利合法或制度正当。
   • 证据等级：A（原始法律、正式标准、原始研究或正式规范）；链接状态：已完成可访问性核验，核验日：2026-10-08。

2. [SRC-025] Ethereum Improvement Proposals：ERC-5192 最小账户绑定通证接口。原文或官方页面

   • 本章引证：Ethereum：ERC-5192 最小账户绑定通证接口。
   • 支持范围：用于确认标准或技术规范对数据结构、验证条件、协议流程及接口语义的明文规定，本书引用主题包括：Ethereum：ERC-5192 最小账户绑定通证接口。
   • 使用边界：符合技术规范只说明相应格式或过程条件，不自动证明链下事实真实、权利合法或制度正当。
   • 证据等级：A（原始法律、正式标准、原始研究或正式规范）；链接状态：已完成可访问性核验，核验日：2026-10-08。

3. [SRC-017] OpenZeppelin：OpenZeppelin 的 VestingWallet 文档。原文或官方页面

   • 本章引证：OpenZeppelin：归属钱包及时间安排。
   • 支持范围：用于展示具体实现方式、工具接口或实践中的可行安排，本书引用主题包括：OpenZeppelin：归属钱包及时间安排、OpenZeppelin 的 VestingWallet 文档。
   • 使用边界：实现资料用于说明可行技术路径，不等同于独立安全审计、法律效力或经营效果证明。
   • 证据等级：C（实现层或第三方技术资料，用于说明具体工具与实践）；链接状态：已完成可访问性核验，核验日：2026-10-08。

4. [SRC-070] Uniswap Labs：Uniswap：价格冲击与流动性。原文或官方页面

   • 本章引证：Uniswap：价格冲击与流动性。
   • 支持范围：用于展示具体实现方式、工具接口或实践中的可行安排，本书引用主题包括：Uniswap：价格冲击与流动性。
   • 使用边界：实现资料用于说明可行技术路径，不等同于独立安全审计、法律效力或经营效果证明。
   • 证据等级：C（实现层或第三方技术资料，用于说明具体工具与实践）；链接状态：已完成可访问性核验，核验日：2026-10-08。