1 декабря 1969 года, Вашингтон, штаб-квартира Selective Service. Восемь вечера. В прямом эфире, на глазах у всей страны, конгрессмен Александр Пирни опускает руку в большую стеклянную банку и достаёт первую из 366 синих пластиковых капсул. Внутри — дата: 14 сентября. Этой дате присваивается призывной номер 1. Все мужчины 1944–1950 годов рождения, родившиеся 14 сентября, идут на войну первыми.
Прозрачнее не бывает: национальный телеэфир, конгрессмен лично тянет капсулы, 366 дней и 366 капсул на виду у миллионов. Если и существует образец честного публичного розыгрыша — вот он. Только он был нечестным. И в этом — вся статья.
Полюс честной ошибки
Через 87 минут банка пуста. Порядок вытянутых капсул определил, в какой очерёдности молодых американцев отправят во Вьетнам. А заряжали эту банку так.
Капсулы складывали в коробку по месяцам. Сначала январь — перемешали. Добавили февраль — перемешали первые два месяца. И так до декабря. В результате январские капсулы перемешали двенадцать раз, февральские — одиннадцать, а декабрьские — ровно один раз. Потом всё высыпали из обувной коробки в стеклянную банку — и этого финального встряхивания не хватило, чтобы сломать сезонную последовательность.
Капсулы поздних месяцев так и остались сверху. Их вытягивали первыми. В переводе на человеческие судьбы: дни рождения ноября и декабря (даты с 306-й по 366-ю) систематически получали низкие призывные номера — то есть призывались раньше.
Никто не жульничал. Не было злодея, подкупленного чиновника, поддельного билета. Была добросовестная процедура и плохо понятая физика перемешивания. И всё равно результат вышел смещённым.
Насколько — посчитали. В Монте-Карло-эксперименте из 100 000 смоделированных идеально случайных лотерей лишь около 1 177 — примерно 1,2% — дали отклонение от равномерности не меньше, чем настоящий тираж 1969 года. Иначе говоря: если бы капсулы были перемешаны как надо, такая кластеризация выпадала бы примерно раз из восьмидесяти.
4 января 1970 года New York Times вышла со статьёй под заголовком «Статистики утверждают: призывная лотерея не была случайной». Математики разобрали процедуру и показали перекос. И — ничего. Неравномерную лотерею оставили в силе. Результат уже разослали по призывным комиссиям. Доказать нечестность задним числом получилось. Изменить — нет.
Запомним эту деталь — она важнее, чем кажется. Нечестность здесь обнаружили после розыгрыша. Газетной статьёй. Через месяц. Когда менять было поздно.
Полюс злого умысла
Теперь другой край спектра.
Эдди Типтон был директором по информационной безопасности Multi-State Lottery Association — организации, чьи компьютеры разыгрывали джекпоты в десятках американских штатов. Человек, которому по должности доверяли охранять честность генератора случайных чисел. Он вписал в этот генератор закладку.
Как работала закладка Типтона.
Самоудаляющийся код срабатывал только в узких условиях: розыгрыш в среду или субботу, и только в один из трёх дней года — 147-й, 327-й или 363-й. Эти даты обычно приходились на праздники, когда Типтон бывал в отпуске и подальше от подозрений. Если условия совпадали, генератор уходил с настоящего источника энтропии на подменную ветку, и пул возможных выигрышных комбинаций сужался с миллионов до нескольких сотен — предсказуемого, заранее известного множества.
Дальше — дело техники. Родственники и знакомые покупали билеты на эти «удачные» комбинации и забирали джекпоты. Около 24 миллионов долларов, минимум пять штатов, почти десять лет необнаружения. Схему вскрыли случайно — из-за невостребованного джекпота в 16,5 миллиона в Айове, который пытались получить через траст с бенефициаром в офшорной корпорации в Белизе, за два часа до истечения срока. Слишком дурно пахло.
Два полюса. На одном — никто не хотел зла, и розыгрыш всё равно оказался кривым. На другом — злой умысел был вшит в самое сердце генератора, и его не замечали годами. Между ними помещается всё остальное.
Между полюсами
Подмена победителя — Сиань, Китай, 2004.
Настоящему обладателю выигрышного билета — фермеру Лю Ляну — объявили, что его билет поддельный. Приз ушёл сообщникам организаторов. Список участников и правила соответствия билета выигрышу были непубличны, поэтому подменить победителя оказалось делом одного заявления.
Подделка документов — Кувейт, 2021–2025.
Сеть, орудовавшая под надзором министерства торговли, фальсифицировала документы и перенаправляла призы «нужным» людям: 110 розыгрышей, машины, наличные — на сумму свыше 1,2 миллиона динаров. Семьдесят три обвиняемых.
Недоказуемая случайность — «Большой брат», Великобритания, 2006. Channel 4 раздала 100 «золотых билетов» в шоколадках Kit Kat: нашедший получал шанс попасть в дом. Финалистов собрали в прямом эфире и одну выбрали жеребьёвкой — шар из лототрона. Победительницей оказалась та, кто уже не раз ходила на кастинг (её узнали участники), а вокруг билета поползли слухи о покупке на eBay за £4 000. Посыпались жалобы «всё подстроено», Ofcom начал проверку. ASA в итоге счёл жеребьёвку честной — но указал на ключевой изъян: на розыгрыше не было независимого наблюдателя (приглашённого от Electoral Reform Services к процедуре не пустили). Даже если отбор был честным, его нельзя было пересчитать или проверить. Зрители видели шар в эфире — но первое же совпадение (свой человек + eBay-слух) превратилось в неустранимое подозрение. Без верифицируемости честность недоказуема — а значит беззащитна.
Подмена результата задним числом — Филиппины, PCSO.
После розыгрыша на 249 миллионов песо в сеть утекла «вторая версия» результатов, где джекпот не выиграл никто. У оператора было два системных провайдера — и не было криптографического слепка, зафиксированного до тиража. Слово оператора против скриншота. Доказать нельзя ничего.
Разные страны, разные десятилетия, разные механизмы. Но дыра одна и та же.
Одна дыра под пятью углами
Сложите эти случаи рядом, и проступает общее. Все пять — не пять независимых уязвимостей. Это одна и та же дыра, просто повёрнутая разными гранями.
Розыгрыш, результат которого нельзя независимо пересчитать, держится на доверии к организатору. А доверие масштабируемо подделывается. Не важно, кривое у вас перемешивание капсул или подкупленный чиновник, поддельный билет или утёкшая вторая версия протокола, — пока единственный способ узнать результат состоит в том, чтобы поверить тому, кто его объявил, у этого человека есть и возможность, и стимул соврать. Или ошибиться, не соврав.
И обратите внимание на главную ловушку: публичность не спасает. Призывная лотерея 1969-го была максимально публичной — нацэфир, конгрессмен, стеклянная банка на виду у миллионов. И всё равно она была смещённой, и доказали это постфактум, газетной статьёй, когда поезд ушёл. Зрелище прозрачности — не то же самое, что проверяемость. Можно показать людям всё — и всё равно вручить им результат, который они обязаны принять на веру.
Что делает с этим UVS
UVS (Uncloned Verification Standard) исходит из простого тезиса: розыгрыш должен быть фактом, который кто угодно пересчитает у себя, а не обещанием, которое надо принять. Для этого результат превращается в воспроизводимую функцию трёх публичных входов.
Server seed с commit-reveal. Организатор фиксирует семя до розыгрыша, публикуя его хеш. Само семя раскрывается после. Это закрывает Филиппины: «второй версии» результата не может существовать, потому что слепок единственного семени опубликован заранее. Подменить результат задним числом нечем — он уже зацементирован хешем.
Публичная случайность из будущего. Конкретный будущий раунд drand — глобального распределённого маяка случайности. На момент commit этого раунда ещё не существует: его не может ни выбрать, ни узнать заранее ни организатор, ни кто-либо ещё. Это закрывает сразу оба полюса. Типтон не смог бы подменить энтропию — её источник вне его машины и вне его контроля. А Draft '69 был бы невозможен, потому что drand не перемешивают руками в обувной коробке: у него нет физического перекоса, ломать сезонную последовательность нечему.
Опубликованный ruleset. Список участников и структура призового фонда публикуются заранее. Победитель — чистая функция от (seed, drand, список). Это закрывает Сиань, Кувейт и «Большого брата»: перенаправить приз «своему» нельзя, потому что соответствие билет→участник зафиксировано до розыгрыша и пересчитывается кем угодно; анонимный победитель, вынырнувший из ниоткуда через белизский траст, структурно невозможен; «знать заранее» невозможно, потому что входа — будущего drand — ещё нет в природе.
Три входа, и набор векторов атаки схлопывается. Не потому, что мы построили организатора понадёжнее или аудитора посовестливее. А потому, что мы убрали само слово «доверять» из определения честного розыгрыша.
Почему это не блокчейн и не очередной аудит
UVS — протокол, а не библиотека, не фреймворк и не тяжёлая цепочка блоков. Он не требует, чтобы вы кому-то доверяли — ни оператору, ни сертифицирующей третьей стороне, ни консенсусу майнеров. Он требует ровно одного: чтобы три входа были публичны, а функция — детерминирована. Тогда проверка перестаёт быть актом веры и становится арифметикой. Любой участник берёт seed, берёт раунд drand, берёт список — и пересчитывает результат на своей машине. Сходится — честно. Не сходится — пойман.
Статистики в 1970-м сделали ровно это, только руками и через месяц: взяли результат, проверили на случайность, поймали перекос. UVS превращает их посмертный анализ в свойство, встроенное в сам розыгрыш. Не «доказать нечестность постфактум, когда поздно», а «честность как пересчитываемый факт в момент объявления».
Призывникам ноября и декабря 1969 года это не помогло бы вернуть проигранную лотерею — но помогло бы оспорить её до того, как капсулы разослали по комиссиям. А это и есть вся разница между обещанием и фактом.
UVS — открытый протокол проверяемой честности для игр, iGaming и розыгрышей. Документация, спецификация и живые демо: uncloned.work.
Комментарии (30)
dopusteam
21.06.2026 13:57Победительница «случайного» отбора золотого билета, по свидетельствам, ещё до объявления заявляла в пабе, что идёт в дом. Регулятор начал проверку. Зрители видели шоу честного отбора — а процедура за кулисами честной не была.
Ничего не понятно
AnSa8
21.06.2026 13:57То же самое хотел написать. Перечитал несколько раз но так и не понял о чём речь.
pae174
21.06.2026 13:57Про баги в лотереях есть два фильма на основе реальных событий:
The Luckiest Man in America (2024) про мужика, который нашел баг в генераторе случайных чисел у организаторов и успешно проэксплуатировал его.
Jerry & Marge Go Large (2022) про пару пенсионеров, проэксплуатировавших баг в правилах вычисления суммы выигрыша.
ZlobniyShurik
21.06.2026 13:57Возникает вопрос - а нужна ли вся эта честность и прозрачность организаторам лотереи?
Когда выигрыш, да не простой, а джек-пот, уходит какому-то левому селянину, а организаторам теперь вынь да положь крупную сумму на бочку (не из левого кармана в правый).
P.S. Тут когда-то ещё и про честные верифицируемые выборы стаьи были :)
xenon
21.06.2026 13:57Им нужно доверие. Тем более, что разных лотерей - много, есть конкуренция и надо доказать, что твоя - уж точно честная.
misha_erementchouk
21.06.2026 13:57а нужна ли вся эта честность и прозрачность организаторам лотереи?
Она им, может, и не нужна, как, скажем, владельцы магазинов тоже возможно были бы не прочь деньги брать, а товар не отдавать, но есть внешние сдерживающие факторы.
Деятельность лотерей регулируется. В некоторых странах (например, США) несанкционированные лотереи запрещены. Например, если на вечеринке устроить лотерею, где билеты покупаются за деньги, но не все полученные таким образом деньги идут на приз, то есть возможность для неприятностей просто за сам факт проведения лотереи. В Великобритании похоже устроено, но есть свои какие-то тонкости, в которых мне лень разбираться.
А если лотерея санкционирована, то нужно следовать правилам, даже если организаторам этого не хочется.
Politura
21.06.2026 13:57Победитель — чистая функция от (seed, drand, список).
Берем лотерею, условно 6 из 36, когда люди сами заполняют лотерейные билеты и отдают организатору. Организатор получает лотерейные билеты к определенному времени, после которого новые билеты уже не принимает. Дальше, он вводит билеты в публичную базу доступную всем, чтоб кто хочет мог пересчитать, что занимает некоторое время перед самой лотереей. Однако сам организатор к этому времени знает и seed и drand, так что помешает организатору посчитать, какие еще можно добавить билеты в конец списка так, чтоб один из них оказался выигрышным?
cpud47
21.06.2026 13:57Там весьма криво описан протокол. Конкретно описанная проблема там решается через внешнего актора. То есть есть внешний независимый сервис ("проверяемой энтропии"), которые каждые 3 секунды публикует случайный ключ и у которого можно запросить, а что он опубликовал в какой-то прошлый момент времени. Оператор лотерии не выбирает drand, он выбирает только время ("номер раунда"), когда наш сервис энтропии опубликует ключ — и вот ключ в этот момент времени и станет нашим drand.
Но сам протокол, вообще говоря, не предназначен для произвольных лотерей типа 6/36. Конкретно uvLotery работает только для случайных перемешиваний кандидатов. Впрочем, на суть проблем это не сильно влияет.
Для своей работы он требует целых два внешних сервиса: проверямоего источника времени и проверяемого источника энтропии. Что кмк не очень хорошо ввиду всяких угроз сговоров =/
Кмк, было бы интересно рассмотреть вариант, когда drand формируется именно что участниками. Условно, чтобы после того, как список участников закомичен, у участников была бы возможность добавить своих байт в пул энтропии. При этом, чтобы порядок добавления зависел от предыдущих добавленных байт — таким образом нельзя будет добавить своего участника в конце. Правда это плохо масштабируется (на миллионы участников).
Tl;Dr; сам протокол в статье толком не описан, нужно читать оригинал. Мб сделать нормальный разбор протокола...
constr Автор
21.06.2026 13:57https://uvs.uncloned.work/draw/ и выбираем 5 из 36
дранд берется непосредственно перед розыгрышем. на этот момент все билеты опубликованы и криптографически подтверждены. узнать дранд заранее невозможно
xenon
21.06.2026 13:57Была у меня одно время идея продавать цифровые колоды карт казино...
Прелюдия: так как я параноик, каждый раз играя в интернет-покер мне было интересно - а честно ли идет игра? Потому что возможностей для обмана у площадки очень много. Вдруг изначально нужному человеку (или боту) хорошие карты приходят на руку? (или каждую третью раздачу приходящуюся на седьмую минуту каждого часа - неважно. Главное, что иногда он знает, что он победитель, или просто в 51% его карты лучше моих). Или, может быть, вообще карты из прикупа по ходу игры выдумываются, так чтобы получить нужный результат? Как игроку убедиться, что этих жульничеств не происходит?
И вот возникла такая идея: Есть сервис (магазин цифровых игральных карт), он за копеечку продает перемешанную колоду карт казино (покерному сайту). Хеш колоды - считается заранее и известен всем игрокам (где-нибудь не на виду, чтобы не мешать, но при желании - они смогут проверить). Вроде бы комбинаций колод и так достаточно, но для надежности, "хозяйке на заметку", все что можно лучше посолить. Можно еще и перец добавить.
Так же перед игрой каждый может перетасовать колоду (примерно как подснять, но может быть несколько раз) - первые N верхних карт в том же порядке положить вниз. Это может покерный игровой клиент делать автоматически по PRNG, или игрок может сам. Запрос каждого игрока на перетасовку виден всем игрокам до игры. И это защищает от того, чтобы магазин продал колоду, которая была бы выгодна нужному игроку.
После завершения игры магазин публикует всю колоду и все игроки могут убедиться, что:
1. Колода совпадает с известным в начале хешем, никто по ходу игры не мухлевал с колодой
2. После применения всех перетасовок от каждого игрока получилась та колода, которую они и видели в игре.
Можно даже отдельное open source приложение иметь, которое проверяет все эти данные об игре и говорит, был мухлеж или нет.
Это основная суть, там еще детали могут быть важны (например, магазин должен подписывать колоду своим ключом, чтобы игроки видели, что игорный сайт в самом деле играет колодой надежного магазина, а не дает свои колоды). Или что карты игрока известны только самому игроку, и не известы игорному сайту (который мог бы их "шепнуть" подставному игроку). Но главная идея - максимально разделить "казино" (игорный сайт) и колоду, чтобы даже казино не могло мухлевать с ней. (С ней в теории может мухлевать магазин, но магазин не может знать на какой стол уйдет колода, какие там игроки в каком порядке, и как вариант - может не знать как идет пользовательская перетасовка). Как вариант, казино вообще покупает на каждую игру N колод и играет одной случайной, остальные выбрасываются.
Все покеристы играют через интернет-ресурсы и не уверены, что те ресурсы играют совершенно честно, а вот покер, который бы играл через такой вот магазин карт - получил бы сразу гораздо больше доверия.constr Автор
21.06.2026 13:57Кстати интересная идея насчёт карточных игр вообще. Надо будет исследовать
bdaring
21.06.2026 13:57Ерунду придумываете.
Во-первых покерному провайдеру совершенно все равно кто выиграет. Свой рейк он возьмет в любом случае. Во-вторых, если уж он опустится до своего бота в игре, то ему не нужно сдавать какие-то особые карты. Достаточно делиться информацией о том, что придет на стол. Даже знание заранее одной карты флопа, уже позволит боту надежно играть в плюс.
artptr86
21.06.2026 13:57В том и прикол, что в правильной криптосхеме даже бот будет знать только свои карты, а казино не будет знать ничьих карт до окончания игры, что никак не поможет смухлевать
xenon
21.06.2026 13:57именно! казино может узнавать карту не заранее, а позже всех игроков (и уж тем более после того как все заявили свои решения - то есть, свой бот тоже должен сначала решить, пасует он или поднимает, а потом только казино узнает карту.).
constr Автор
21.06.2026 13:57Готово. Тасовка колоды - https://uvs.uncloned.work/draw/ выбираем Card shuffle
artptr86
21.06.2026 13:57Такие протоколы известны уже давно под названием Mental Poker. И там не нужен магазин как отдельная сторона. Казино вполне может самостоятельно зашифровать карты и сделать доказуемую тасовку с нулевым разглашением (zero knowledge proof shuffle). Далее карты в раздаче раскрываются каждому из игроков с помощью re-encryption mixnet, чтобы никто до окончания игры не знал карт друг друга.
ifap
21.06.2026 13:57На каком-то игровом сайте было подобное, там были игры типа открой 5 клеток из 36 и получи приз или "бомбу". Раскладка поля публиковалась до начала игры в запароленном архиве, пароль к которому сообщался после окончания игры.
materiatura
21.06.2026 13:57Server seed с commit-reveal.
В предложении только предлог на языке статьи. Круто, - это я вам как лингвистик лингвистику говорю.
constr Автор
21.06.2026 13:57Можно конечно Начальное значение сервера с коммитом показать, но смысла еще меньше
remendado
Тут не хватает описания технологии перемешивания каждой из 12 итераций.