Bitcoin Script y verificación de firmas UTXO

Bitcoin utiliza salidas de transacciones no gastadas (UTXO). Cada UTXO es una moneda con un script de bloqueo (scriptPubKey). Para gastarla, quien la gasta proporciona un script de desbloqueo (scriptSig) que satisface el script de bloqueo. Los UTXO son atómicos: se gastan o no se gastan, nunca parcialmente.

Bitcoin Script es un lenguaje basado en pila y no Turing-completo. Los scripts se ejecutan insertando datos en la pila y ejecutando opcodes. No hay bucles ni recursión: los scripts siempre terminan. Esta limitación intencional evita la denegación de servicio y hace que la verificación del script sea O(n) respecto a su longitud.

Tipo de salida más común. scriptPubKey: OP_DUP OP_HASH160 OP_EQUALVERIFY OP_CHECKSIG. scriptSig: . Ejecución: push sig+pubkey, dup pubkey, hash160(top), comparar con el hash incluido y verificar la firma ECDSA. Si todo es correcto, la moneda se puede gastar.

Traza de la pila para P2PKH: push ; push ; OP_DUP → inserta una copia; OP_HASH160 → aplica hash160(top); push ; OP_EQUALVERIFY → extrae dos elementos y falla si no son iguales; OP_CHECKSIG → extrae sig+pubKey, verifica ECDSA e inserta TRUE/FALSE. El script tiene éxito si el resultado es TRUE.

Bitcoin utiliza ECDSA sobre secp256k1 (curva de Koblitz, y^2 = x^3 + 7 mod p). La clave privada d ∈ [1, n-1]. La clave pública es Q = d*G. Sign(m): k aleatorio; r = (k*G).x mod n; s = k^{-1}(H(m)+r*d) mod n. La firma = (r, s). Se codifica en DER dentro de scriptSig.

Las firmas de Bitcoin cubren partes específicas de la transacción: SIGHASH_ALL (predeterminado): firma todas las entradas y salidas. SIGHASH_SINGLE: firma únicamente la salida correspondiente. SIGHASH_NONE: no firma ninguna salida (peligroso). SIGHASH_ANYONECANPAY: firma únicamente la entrada propia, lo que permite realizar transacciones colaborativas.

P2SH permite ocultar condiciones de gasto complejas detrás de un hash. scriptPubKey: OP_HASH160 OP_EQUAL. scriptSig: . Ejecución: comprueba que hash(redeemScript) == scriptHash y, después, ejecuta redeemScript. Permite utilizar multifirma sin revelar las condiciones hasta el momento del gasto.

redeemScript: OP_2 OP_3 OP_CHECKMULTISIG. scriptSig: OP_0 . OP_0 corrige un error de OP_CHECKMULTISIG, que extrae un elemento adicional de la pila. La multifirma 2 de 3 requiere 2 de las 3 firmas.

Segregated Witness (SegWit, BIP-141) mueve las firmas fuera de scriptSig a un campo witness independiente. Soluciona la maleabilidad de las transacciones (el ID cambia si cambia scriptSig). scriptPubKey de P2WPKH: OP_0 <20-byte pubKeyHash>. Witness: [ ].

Taproot (BIP-340/341/342) utiliza firmas Schnorr y árboles de sintaxis abstracta merkelizados (MAST). Gasto predeterminado: una única firma Schnorr, indistinguible de un gasto por keypath. Las condiciones complejas se ocultan en un árbol de Merkle y solo se revelan si se utilizan. Privacidad y eficiencia.

Bitcoin Core valida los scripts mediante un intérprete basado en pila. CheckSig llama a VerifyScript, que ejecuta la combinación de scriptSig+scriptPubKey. Para cada opcode CHECKSIG, llama a CheckECDSASignature, que verifica la firma (r,s) codificada en DER frente al hash de la transacción mediante secp256k1.

¿Qué verifica OP_CHECKSIG en un script P2PKH?

Los UTXO utilizan Bitcoin Script, basado en pila. P2PKH: el patrón de gasto más común: verifica el hash de una clave pública y después comprueba la firma ECDSA. SegWit soluciona la maleabilidad; Taproot incorpora Schnorr y MAST. Siguiente tema: criptoanálisis diferencial.