干货 | 一文读懂比特币的Taproot/Schnorr升级

作者：

时间：1900/1/1 0:00:00

本文作者为万向区块链、PlatON首席经济学家邹传伟。

2020年1月，由比特币核心开发人员PieterWuille于去年5月提出的Taproot/Schnorr软分叉升级提案已正式作为比特币改进提案发布，相关提案序号为BIP340-342。Taproot/Schnorr升级如果获得社区支持，将是比特币自闪电网络上线后最大的技术拓展。本文查询了BIP340-342相关文档，对Taproot/Schnorr升级做一个简单介绍。本文分三部分，第一部分简单介绍比特币目前的ECDSA签名算法，第二部分详细介绍Schnorr签名算法，第三部分介绍Taproot。

一、比特币ECDSA签名算法

比特币目前使用的ECDSA签名算法与建议的Schnorr签名算法，都属于椭圆曲线数字签名算法，它们使用的椭圆曲线都是secp256k1。这一部分先介绍椭圆曲线secp256k1，再介绍ECDSA签名算法。

椭圆曲线secp256k1

图1：椭圆曲线图示

阿联酋中央银行计划推出数字迪拉姆，将开展CBDC战略第一阶段:3月23日消息，阿联酋中央银行 (CBUAE) 将实施其名为数字迪拉姆的中央银行数字货币（CBDC）战略。CBUAE 已分别邀请 G42 Cloud 和 R3 这两个实体作为基础设施和技术提供商。其 CBDC 战略的第一阶段将在未来 12 到 15 个月内进行，重点包括 mBridge 的软启动、与印度的双边 CBDC 桥的概念验证工作以及涵盖批发和零售的国内 CBDC 发行概念验证工作用法。[2023/3/23 13:22:40]

ECDSA签名算法

注：G坐标为，阶等于FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFEBAAEDCE6AF48A03BBFD25E8CD0364141，均采用16进制表达。

基于区块链的征信网络Creditcoin获DWF Labs投资:2月15日消息，基于区块链的征信网络 Creditcoin 获 DWF Labs 投资，Creditcoin 直接与借贷机构集成，通过 Credal API 在链上创建可验证的信用情况，旨在建立可互操作的跨链信用市场以支持基于加密货币的融资。[2023/2/15 12:09:09]

二、Schnorr签名算法

这一部分先介绍Schnorr签名算法主要特点，再分步骤介绍Schnorr签名算法及批验证，最后介绍基于Schnorr签名的多重签名算法。

主要特点

Schnorr签名算法与ECDSA签名算法使用同样的椭圆曲线secp256k1和哈希函数SHA256，所以在这个层面它们具有同样的安全性。Schnorr签名算法主要有以下优点。

第一，Schnorr签名算法有可证明安全性。在假设椭圆曲线离散对数问题难度的随机寓言模型，以及假设原像抗性和次原像抗性的通用群模型下，Schnorr签名算法具备选择消息攻击下的强不可伪造性。换言之，如果不知道Schnorr签名的私钥，即使有针对任意消息的有效Schnorr签名，也没法推导出其他有效Schnorr签名。而ECDSA签名算法的可证明安全性则依赖于更强的假设。

第二，Schnorr签名算法具有不可延展性。签名延展性的含义是，第三方在不知道私钥的情况下，能将针对某一公钥和消息的有效签名，改造成针对该公钥和信息的另一个有效签名。ECDSA签名算法则有内在的可延展性，这是BIP62和BIP146针对的问题。

第三，Schnorr签名算法是线性的，使得多个合作方能生成对他们的公钥之和也有效的签名。这一特点对多重签名、批验证等应用非常重要，既能提高效率，也有助于保护隐私。而在ECDSA签名算法下，如无额外的见证数据，批验证相对逐个验证并无效率提升。

SCB 10X在曼谷开设新Web3协作空间:金色财经报道，SCB 10X在曼谷开设了一个10,000平方英尺的Web3协作空间。SCB 10X表示，这个名为DistrictX的空间由黑客之家和指数中心两个区域组成。黑客之家包括一个为期六个月的孵化计划，其中SCB 10X将招募开发人员和企业家来建立Web3初创公司。“exponential hub”是SCB 10X合作伙伴的共同工作空间，其中包括Fireblocks、Nansen、The Sandbox和RakkaR Digital。

SCB 10X首席执行官Mukaya Panich表示，SCB 10X计划到2023年上半年孵化六家初创公司，并补充说该公司对Web3基础设施、DeFi和游戏或元宇宙等领域感兴趣。[2022/12/1 21:14:28]

最后，Schnorr签名算法因为使用同样的椭圆曲线secp256k1和哈希函数SHA256，能兼容目前的比特币公私钥生成机制。

Schnorr签名算法

公私钥生成

今日恐慌与贪婪指数为25，恐慌程度有所下降:金色财经消息，今日恐慌与贪婪指数为25（昨日为20），恐慌程度较昨日有所下降，等级仍为极度恐慌。注：恐慌指数阈值为0-100，包含指标：波动性（25%）＋市场交易量（25%）＋社交媒体热度（15%）＋市场调查（15%）＋比特币在整个市场中的比例（10%）＋谷歌热词分析（10%）。[2022/9/2 13:04:15]

签名生成

签名验证

批验证

未平仓总量自12,510张下降至12,423张:8月22日消息，据KingData数据监控，CFTC8月10日至8月16日CME比特币期货持仓周报显示：未平仓总量自12,510张下降至12,423张。

机构多头头寸8,915张，空头头寸9,072张，多空持仓比例1:1，机构多空力量均衡，略微偏向看空；

大户多头头寸619张，空头头寸815张，多空持仓比例1:1.3，大户整体偏向看空；散户多头头寸1,202张，空头头寸849张，多空持仓比例1.4:1，散户显著偏向看涨。[2022/8/22 12:40:05]

图2：逐个验证签名的时间/批验证所需时间

Schnorr签名算法与多重签名

密钥生成

签名生成

签名验证

三、Taproot升级

Taproot升级可以视为默克抽象语言树的一个应用，而MAST又与支付到脚本哈希有关。因此，这部分依次介绍P2SH、MAST和Taproot。

P2SH

P2SH是2012年推出的一类新型交易，使复杂脚本的使用与直接向比特币地址支付一样简单。在P2SH中，复杂的锁定脚本被其哈希值所取代，称为兑换脚本。当随后出现的一笔交易试图花费这个UTXO时，必须包含与哈希值匹配的脚本，同时解锁脚本。P2SH的主要优点包括：一是在交易输出中，复杂脚本由哈希值取代，使得交易代码变短。二是将构建脚本的负担转移至接收方，而非发送方。三是隐私保护性更好。理论上，除了接收方，任何其他方都可以不知道兑换脚本中包含的支出条件。比如，在多重交易中，发送方可以不知道与多重签名地址有关的公钥；只在接收方支出资金时，才披露公钥。但P2SH也存在不足：一是所有可能的支出条件最终都必须被披露，包括那些实际上没有被触发的支出条件。二是在有多个可能的支出条件时，P2SH将变得繁复，会增加计算和验证的工作量。

MAST

MAST使用默克树来加密复杂的锁定脚本，其叶子是一系列相互不重叠的脚本。要支出时，只需披露相关脚本以及从该脚本通向默克树根的路径。比如，在图3中，要使用script1，只需披露script1、script2以及hash3即可。

图3：MAST，来源：?https://medium.com//img/20230515233135486118/39.jpg "/>

图4：脚本数量与交易大小，来源：https://bitcointechtalk.com/what-is-a-bitcoin-merklized-abstract-syntax-tree-mast-33fdf2da5e2f

Taproot

但P2SH与常见的支付到公钥哈希在表现上不一样，仍然有隐私保护问题。有没有可能让P2SH和P2PKH在链上看起来一样？这就是Taproot要解决的问题。

涉及有限数量签名者的脚本，可以分解成两部分：第一部分是多重签名，所有签名者都同意某一支出结果，称为「协作式支出」；第二部分称为「非协作式支出」，可以有非常复杂的脚本结构。这两部分是「或」的关系。比如，在图3中，Script3是一个2-of-2型多重签名，需要Alice和Bob两人都签名才有效，是「协作式支出」；Script1和2是「非协作式支出」。