Brainstorm: Нотариус физической ответственности

Дата: 2026-09-03

1. Контекст: месяц после брейншторма («Proof of Recovery»).
2. Изменения:
   • массовое уничтожение складов WB (краткосрочно не сломало WB как платформу);
   • атаки на Ozon — малозначительны;
   • Ozon анонсировал децентрализацию складов (ПВЗ = склады);
   • Ozon официально подтвердил: модель «ПВЗ как склад» тестировалась в 2018 и была отвергнута.

Оглавление

1. Что изменилось за месяц
2. Семантика ударов: ДЦ против складов
3. Закон доминирующей стороны
4. Проваленные итерации
5. Прорыв: нотариус физической ответственности
6. Что такое «суд-грейд»: три опоры
7. Техническая форма: граф ответственности
8. Страховой тезис: от отказа к андеррайтингу
9. Пакет продукта: мясо + удочка + моат
10. Кто внутри Ozon платит
11. Открытые вопросы
12. Ключевые инсайты

Что изменилось за месяц

Семантика ударов: ДЦ против складов

Гипотеза: атака на дата-центр — удар прямо по маркетплейсу (инфраструктура, операционная способность). Атака на склад — удар по селлерам и покупателям. Это социально ориентированный удар, и именно в нём заинтересован противник.

Следствие: если бы противник хотел убить конкретную платформу — он бил бы по ДЦ (прецедент: AWS, Бахрейн, 05.03.2026). Он бьёт по складам → цель не «смерть WB», а подрыв доверия к электронной торговле как институту: «твой товар и твои деньги там не в безопасности». Это удар по гражданской экономике.

Ключевой вывод: рынок боится не потери данных (данные-то целы), а потери товара и невозможности доказать — сколько и чьё было.

Закон доминирующей стороны

За предыдущие итерации «рамки прозрачности» умерли по одной и той же причине. Сформулируем закон:

Покупатель «независимой целостности» — это сторона, которая боится непрозрачности контрагента. Доминирующая сторона своей экосистемы в независимости не нуждается: независимость только ограничивает её. Поэтому доминант никогда добровольно не купит «прозрачность» — это противоречит его природе.

Доминант (Ozon) покупает внешнюю независимую фиксацию только в трёх случаях:

1. Асимметрично — как оружие против своей слабой стороны (операторы ПВЗ, курьеры, перевозчики, мошенничающие контрагенты). Здесь неизменяемость — не наручники на Ozon, а доказательство в пользу Ozon.
2. По команде сверху (ЦБ/ФАС). Без команды — никогда.
3. Деньги входящие — когда плательщик, который не доверяет Ozon (страховая вне экосистемы, суд, депозит контрагента), должен выплатить Ozon — и без независимой записи не платит.

Дополнительные ограничения, убивающие «прозрачность» как продукт:

• Ozon не заинтересован в прозрачности в критической ситуации: прозрачность = обязательства, а форс-мажор уже закрыл претензии.
• Публичные или доступные селлерам реестры токсичны для ежедневной операционки: ежедневные претензии вместо редких споров.
• Прозрачность позволила бы селлеру получить кредитование, но это работает, только если кредитующий банк находится вне системы Ozon; а у Ozon собственный банк — маркетплейс сам делает выгрузку из своей системы своему же банку, дополнительные независимые реестры не требуются.
• Прозрачность — операционные расходы. Если они превышают доходы от притока новых селлеров — экономического смысла нет.
• Селлеры бегут от WB в Ozon сами, из чувства самосохранения. «Ловить» их не нужно → тратить на привлечение смысла нет.

Проваленные итерации

Вывод из итераций 1–5: рекуррентная ценность продукта не может быть прозрачностью. Мы снова и снова пытались продать одно и то же: «одностороннюю доказуемость» (Ozon доказывает факт). А односторонняя доказуемость упирается в возражение заинтересованной стороны.

Прорыв

Всё вышеперечисленное — односторонняя доказуемость: «Ozon доказывает факт». Она всегда умирает на возражении «это запись заинтересованной стороны».

Прорыв — смена категории:

Фиксировать не данные, а момент перехода ответственности. В точке, где товар и ответственность переходят из рук в руки, — двусторонний акт, подписанный обеими сторонами и якорённый вне контроля обеих.

«Контрагент подписывает событие своими руками — тогда блокчейн фиксирует: этот акт с подписью оператора существовал в момент T, и никто, включая Ozon, его после не менял.»

Это не нотариус данных. Это нотариус физической ответственности.

Почему это неубиваемо инхаусом: Ozon может построить лог, но не может построить запись, которой не владеет. В споре Ozon против оператора собственный лог Ozon ничего не стоит — оператор скажет «Ozon переписал». Ценность — ровно в том, что якорь живёт не у Ozon. Это невозможно сделать внутри по определению.

Где применять (избирательно, там где Ozon — потенциальная жертва):

• приёмка FBO от селлера (декларация отгрузки ↔ фактическая приёмка);
• приёмка товара оператором ПВЗ (хэндоф склад → ПВЗ);
• перемещения между ПВЗ (товары «путешествуют»);
• передача курьеру / последняя миля;
• возвраты (состояние товара при возврате);
• перевозчики (повреждение в пути — переложить ответственность дальше);
• инвентаризации (двусторонняя сверка состояния точки).

Почему Ozon согласится, хотя запись «режет в обе стороны»:

1. Ozon в цепочке — глубокий карман. Его обвинят и без записей; записи не создают новых исков, а делают существующие разрешимыми дёшево.
2. Ozon сам — жертва на других плечах (оператор украл, курьер потерял, перевозчик повредил). Запись — оружие Ozon против них.
3. Запись, где отмечено повреждение при доставке, позволяет Ozon переложить ответственность на перевозчика.
4. Ozon внедряет избирательно: там, где товар идёт через чужие руки, а не там, где Ozon контролирует процесс и ему выгодна односторонность.

Почему согласится оператор: ценность записи для него — не «докажу, что не украл», а границы обвинения. Сегодня, без записей, Ozon может повесить на оператора любую потерю — хоть из другого сегмента, хоть из перевозки. «Докажи, что не виноват» — это презумпция виновности без границ, и она неотразима. С суд-грейдом exposure оператора — ровно дельта его окна: подписал 200 на входе, подписал 200 на выходе — и если недостача всплыла у соседа, его подписи его чистят. Защита работает ровно там, где он сделал свою работу честно (подпись по физической сверке, а не «прощёлкал»). Это нейтральная инфраструктура, нужная обеим сторонам: Ozon боится, что оператор украдёт, оператор — что Ozon припишет ему чужую потерю. Подпись становится контрактным условием партнёрства.

Третья сторона — селлер: конверсия FBS → FBO

Нотариус ответственности описывает не только связку Ozon ↔ оператор. Селлер — такая же сторона в цепи передачи ответственности: его товар входит в сеть на приёмке FBO (переход «селлер → сеть Ozon»). Если этот хэндоф не зафиксирован, рождается тот же спор, что и с оператором: селлер отгрузил 500, приёмка показала 450 — и слова против слов. Механизм тот же: декларация селлера (что отгрузил) и фактическая приёмка Ozon якорятся независимо — никто не перепишет свою цифру задним числом, а запись ограничивает обе стороны (селлер не раздует, Ozon не занизит).

После WB селлер напуган и приходит на Ozon сам — но в каком режиме? По умолчанию выбирает FBS: товар остаётся у него, Ozon лишь забирает заказ. Для селлера это «безопасно»; для Ozon — тонкая комиссия, ноль глубины стока, ноль скорости-обещания. Экономика Ozon держится на FBO: глубина инвентаря, денежный поток, контроль логистики. А децентрализация в ПВЗ работает, только если селлеры готовы нести сток в сеть. Не готовы — из страха (опрос: «непонятный ПВЗ, неблагонадёжный оператор»).

Скидка на хранение страх не лечит — WB только что показал, чего стоят обещания. Лечится механизмом, дающим селлеру основания верить:

1. базовая приёмка зафиксирована — её не занизят и не «потеряют»;
2. если с точкой что-то случится — есть суд-грейд аттестация его позиции (для него, для суда, для страховой);
3. его FBO-сток становится страхуемым внешней страховой (страховой тезис) — прямой аргумент «FBO не страшнее FBS».

И это не ежедневная прозрачность селлеру: итерация 4 умерла именно на ней (прозрачность = операционные расходы). Это запечатанный механизм — видимость по событию. Селлеру не нужен дашборд остатков Ozon; ему нужно знать, что «чёрный ящик» перестал быть чёрным для атрибуции — когда это важно.

Отсюда роль «удочки»: публичный знак доверия — не только PR против WB, а конверсионный инструмент FBS → FBO. «Мы — маркетплейс, чей учёт физически не переписать» — фраза, которая переводит напуганного селлера в маржинальный FBO-сток. Это деньги без единого нового селлера.

Суд-грейд

«Суд-грейд» — не юридический термин, а инженерный: доказательство, сконструированное так, чтобы пережить возражение «это запись заинтересованной стороны».

Пример: Сток селлера (FBO) едет по распределённой сети. ПВЗ-1 подписал отгрузку — 200 коробок. ПВЗ-2 подписал приёмку — 150. Между двумя подписями товар больше никто не трогал. Селлер: «где мои 50?»

Без суд-грейда: обе точки зафиксировали свои цифры в системе Ozon: «отгрузил 200» / «принял 150» → селлеру отвечают «разберёмся» → «система ваша — можете нарисовать любые остатки» → атрибуции нет: селлер без компенсации, Ozon не может взыскать ни с одного из двух ПВЗ.

С суд-грейдом: разрыв локализован между двумя соседними подписями — в сегменте ПВЗ-1 → ПВЗ-2. Каждый отвечает ровно за дельту своего окна: ПВЗ-1 — за 200, подписанные к отгрузке, ПВЗ-2 — со 150, подписанных при приёме. Честный выходит чистым, виноватый локализован. Три опоры, на которых это держится:

1. Двусторонняя подпись (происхождение). Акт подписывает сам оператор на терминале (ключ в защищённом элементе), в момент хэндофа. Это не «Ozon утверждает», это «оператор собственноручно подтвердил». Несущая стена.
2. Независимый якорь (неизменность и время). Хэш акта уходит в 6 независимых узлов в момент T. Закрывает возражение «Ozon мог дописать задним числом». Свой immutable-лог не работает — им Ozon владеет.
3. Гигиена процесса. Непрерывность, автоматизация, управление ключами, аудит доступа. Любая ручная дырка — поверхность для адвоката и судебной экспертизы.

Критично: блокчейн сам по себе суд-грейдом не является. Если Ozon просто хэширует свои записи — это та же односторонняя запись, только с хэшами (возражение «хэш a1b2c3 — докажите, что это контракт Иванова, а не kote.txt» из итерации 4 документа 08). Суд-грейд появляется, только когда на краю сети контрагент подписывает событие своими руками: подпись закрывает происхождение, блокчейн закрывает неизменность. Нужны обе половины.

В российском праве запись — «дополнительное доказательство» (ст. 55 ГПК, ст. 64 АПК), в оспариваемом деле возможна компьютерно-техническая экспертиза. Суд-грейд — дизайн-цель и лучшая юридическая позиция, а не гарантия.

Техническая форма: граф ответственности

Идея и её развитие с учётом суд-грейда и zero data leakage

Ядро: каждый ПВЗ — уникальный Ethereum-адрес (EoA) в PoA-сети. ПВЗ владеет приватным ключом и подписывает исходящую транзакцию с фактом перехода ответственности. В транзакции есть и from, и to — по адресам можно восстановить граф переходов ответственности между субъектами.

Почему это ложится на апплаенс: железо не меняется — меняется смысл payload'а. Вместо «хэш документа» — «подписанный оператором факт перехода ответственности». Апплаенс остаётся PoA-нодой и шлюзом Ozon; ПВЗ не поднимают полные ноды, а только подписывают. Апплаенс добавляет три функции: онбординг адресов (адрес ↔ юрлицо), relay операторских транзакций, индексер в Journal DB, который восстанавливает граф и сверяет его с цепью.

Сильные стороны:

• Адрес = субъект: идентичность и подпись в одном. Ozon не может подделать подпись оператора — даже при ретрансляции через апплаенс Ozon подпись исходит из ключа оператора. Это и есть «двусторонность» из раздела «Прорыв».
• Цепочка хранения становится запрашиваемой: «кто держал посылку X между T1 и T2», «текущий ответственный».
• Производная: custody explorer — визуальный граф цепи ответственности по посылке/ПВЗ, который можно показать суду и страховой, а в агрегате — в удочку.

Пять поправок, без которых форма не держит суд-грейд:

1. Ключ — не на флэшке, а в защищённом элементе (смарт-карта / хардверный keystore в сканере-терминале). Копируемый ключ = защита оператора скажет «ключ скопировали / флэшку потерял / подписал не я». Каждая подпись требует PIN/биометрии и логируется.
2. Транзакция — конверт, а не сырой блоб: {from, to, kind, hash_акта}, где hash_акта покрывает полный акт (количество, SKU, ID) и именно его подписывает оператор. Полный акт живёт в Journal DB. Наружу уходит только хэш и адреса — zero data leakage соблюдён, и Ozon не может подменить «200» на «150» задним числом.
3. Идентичность: реестр «адрес ↔ юрлицо» на онбординге + ротация и отзыв ключей. Анонимный граф в суд не предъявишь.
4. Не перепродавать крипту: цепь доказывает атрибуцию и неизменность (кто подписал, что запись не меняли), а не честность оператора при скане. Точность на краю — процесс: обязательная сверка счёта, вес, камеры.
5. Вход FBO «мягче»: у селлера нет ключа (удалённая сторона). Его декларация отгрузки в кабинете (подпись через обычную аутентификацию) + приёмка, подписанная ключом склада Ozon; дальше — сверка двух записей. Внутри сети (склад → ПВЗ → курьер) граф чистый; на стыке с селлером симметрии криптоподписей нет — это надо проговорить.

Страховой тезис

Выплаты — одна сторона медали. Главное: наша система может перевести страховую из режима «отказ» в режим «андеррайтинг».

Сегодня внешняя страховая отказывается страховать товар в складской сети маркетплейса: не может проверить, что где лежит, кто за что отвечает, а после WB — в панике. Рынка страхования распределённого стока не существует.

Важно: отказ — не из-за военного риска. Ударная концентрация — проблема крупных центральных складов; тысячи распределённых ПВЗ имеют профиль обычных коммерческих рисков: мошенничество, кражи, порча, подлог оператора. Децентрализация Ozon не только делает сеть физически неубиваемой, но и конвертирует нестрахуемую концентрацию военного риска в страхуемый диверсифицированный портфель. Единственное, что мешает андеррайтингу, — «чёрный ящик»: страховая не видит, что где лежит и кто за что отвечает. Именно этот барьер и снимает наша система.

С нашей системой у страховой появляется то, чего ей не хватало:

• непрерывно якорённая, двусторонне подписанная, суд-грейд запись состояния по каждой точке;
• атрибуция ответственности (оператор/курьер/перевозчик/Ozon) по каждому событию;
• достоверное состояние на момент события — для урегулирования.

Это превращает «мы не можем страховать чёрный ящик» в «мы можем андеррайтить, потому что видим и можем проверить». Открывается рынок, которого сегодня нет.

Обязательное условие: страховая — вне экосистемы Ozon. Страховщик внутри экосистемы (Ozon Банк / собственная страховая) доверяет данным Ozon — он просто вытащит выгрузку из их БД, независимость ему не нужна. Внешний страховщик не верит самоотчёту Ozon в принципе — и именно ему нужна запись, которой Ozon не владеет. Это подтверждает закон с обратной стороны: независимая верификация ценна ровно там, где контрагент внешний и недоверчивый.

Это же усиливает довод «деньги входящие» из закона доминирующей стороны: страховые выплаты Ozon (и селлерам) становятся возможны только при наличии независимой записи.

Пакет продукта

Один аппарат, одна PoA-сеть, два сторителлинга:

Мясо (ядро, рекуррентная ценность)

Нотариус физической ответственности: двусторонние акты на каждом хэндофе, якорённые вне Ozon.

• Возврат потерь (взыскание с операторов/перевозчиков, депозиты, страховки контрагентов).
• Дешёвое разрешение споров вниз по цепочке.
• Инкассация от внешних страховых.
• Открытие рынка страхования распределённого стока.

Удочка (публичное, производная)

Агрегат записей даёт эксклюзивный знак доверия: «мы — маркетплейс, чей учёт физически не может быть переписан». Рекламная кампания против тонущего WB. Ценность — в эксклюзивности: первый покупатель платит за то, чтобы второй не смог. WB не может ответить (репутация уже сгорела), Я.Маркет ещё не додумался. И это не только PR: знак доверия — конверсионный инструмент FBS → FBO (см. «Третья сторона — селлер»).

Моат

Англицизм из бизнес-лексики — economic moat («экономический ров»), термин, популяризированный Уорреном Баффетом. Означает устойчивое конкурентное преимущество, которое защищает бизнес от конкурентов — как ров вокруг замка: конкуренту трудно перебраться через него и отнять у тебя клиента.

Ozon не может владеть этим сам: ценность записи — в том, что она живёт не у Ozon. Единственный, кто может продать Ozon «запись, которой не владеет Ozon», — это мы. 4000 инженеров Ozon здесь не помогают.

Кто внутри Ozon платит

Ключевой момент: экономика сходится не на «доходах от новых селлеров» (они приходят сами), а на конверсии пришедших в маржинальный FBO-сток + возврате собственных потерь Ozon + инкассации от страховых.

Открытые вопросы

1. Кто именно внутри Ozon страдает от того, что селлеры не несут сток в ПВЗ (владелец ПВЗ)? Есть ли у него бюджет и мандат?
2. Согласится ли Ozon на записи, которые связывают и его (двусторонность режет в обе стороны)? Анализ: да, при избирательном внедрении там, где Ozon — потенциальная жертва. Нужна проверка.
3. Какая внешняя страховая готова андеррайтить распределённый сток при наличии независимой записи? Что ей нужно для старта?
4. Пилот: один поток — приёмка в ПВЗ (или перемещения между ПВЗ). Замерить стоимость разрешения споров «до/после».
5. Регуляторный контур: после массовых потерь WB вероятность требований ЦБ/ФАС к доказуемому учёту растёт. Быть готовым решением к моменту команды.
6. Конверсия FBS → FBO: что реально двигает селлера — знак доверия, страхуемость стока или комиссия? Протестировать на когорте бегущих от WB селлеров.

Ключевые инсайты

1. ❌ Удар по складу ≠ удар по данным. Склад = место, где лежит чужой товар; удар по складу = социальный удар по селлерам и покупателям, а не по платформе.
2. ❌ Ozon добровольно не купит «прозрачность». Прозрачность = обязательства + операционные расходы. Покупатель независимости — тот, кто боится непрозрачности контрагента. Доминант не боится.
3. ❌ Селлеры приходят сами — «ловить» их не нужно. Значит, продукт не может строиться на «привлечении через прозрачность».
4. ❌ Односторонняя доказуемость умирает на возражении заинтересованной стороны, сколько бы ни было блокчейна.
5. ✅ Прорыв: двусторонняя фиксация в точке перехода ответственности. Подпись контрагента закрывает происхождение, независимый якорь — неизменность. Нужны обе половины.
6. ✅ Моат: Ozon не может построить запись, которой не владеет. Ценность живёт вне его контроля.
7. ✅ Страховой тезис: система переводит внешнюю страховую из «отказа» в «андеррайтинг» — и это работает только со страховой вне экосистемы Ozon.
8. ✅ Пакет: мясо (нотариус ответственности → возврат потерь и страховые выплаты) + удочка (эксклюзивный знак доверия против WB) + моат (запись вне контроля Ozon).
9. ✅ Деньги — в конверсии FBS → FBO. Селлер приходит сам, но в тонком режиме FBS. Нотариус ответственности + знак доверия переводят его в маржинальный FBO — без единого нового селлера.