Script di Bitcoin e verifica delle firme UTXO

Bitcoin utilizza gli output di transazione non spesi (UTXO). Ogni UTXO è una moneta con uno script di blocco (scriptPubKey). Per spenderlo, chi effettua la spesa fornisce uno script di sblocco (scriptSig) che soddisfa lo script di blocco. Gli UTXO sono atomici: o vengono spesi o non vengono spesi, mai parzialmente.

Bitcoin Script è un linguaggio basato su stack e non completo secondo Turing. Gli script vengono eseguiti inserendo dati nello stack ed eseguendo opcode. Non ci sono cicli né ricorsione: gli script terminano sempre. Questa limitazione intenzionale previene gli attacchi di tipo denial-of-service e rende la verifica dello script O(n) rispetto alla sua lunghezza.

È il tipo di output più comune. scriptPubKey: OP_DUP OP_HASH160 OP_EQUALVERIFY OP_CHECKSIG. scriptSig: . Esecuzione: inserisce la firma e la chiave pubblica, duplica la chiave pubblica, calcola hash160, confronta il risultato con l'hash incorporato e verifica la firma ECDSA. Se tutte le verifiche hanno esito positivo, la moneta può essere spesa.

Traccia dello stack per P2PKH: inserisce ; inserisce ; OP_DUP → inserisce una copia; OP_HASH160 → calcola hash160 dell'elemento in cima; inserisce ; OP_EQUALVERIFY → rimuove due elementi e fallisce se non sono uguali; OP_CHECKSIG → rimuove la firma e , verifica ECDSA e inserisce TRUE/FALSE. Lo script ha esito positivo se il risultato è TRUE.

Bitcoin utilizza ECDSA su secp256k1 (curva di Koblitz, y^2 = x^3 + 7 mod p). La chiave privata è d ∈ [1, n-1]. La chiave pubblica è Q = d*G. Sign(m): k casuale; r = (k*G).x mod n; s = k^{-1}(H(m)+r*d) mod n. La firma è (r, s). Viene codificata in DER nello scriptSig.

Le firme Bitcoin vincolano parti specifiche della transazione: SIGHASH_ALL (predefinito): firma tutti gli input e gli output. SIGHASH_SINGLE: firma solo l'output corrispondente. SIGHASH_NONE: non firma alcun output (pericoloso). SIGHASH_ANYONECANPAY: firma solo il proprio input e consente transazioni collaborative.

P2SH consente di nascondere condizioni di spesa complesse dietro un hash. scriptPubKey: OP_HASH160 OP_EQUAL. scriptSig: . Esecuzione: verifica che hash(redeemScript) == scriptHash, quindi esegue redeemScript. Consente la multifirma senza rivelare le condizioni fino al momento della spesa.

redeemScript: OP_2 OP_3 OP_CHECKMULTISIG. scriptSig: OP_0 . OP_0 aggira un bug di OP_CHECKMULTISIG, che rimuove un elemento aggiuntivo dallo stack. Una multifirma 2-di-3 richiede 2 firme qualsiasi su 3.

Segregated Witness (SegWit, BIP-141) sposta le firme fuori da scriptSig, inserendole in un campo witness separato. Risolve la malleabilità delle transazioni, per cui l'ID cambia se cambia scriptSig. scriptPubKey di P2WPKH: OP_0 <20-byte pubKeyHash>. Witness: [ ].

Taproot (BIP-340/341/342) utilizza firme Schnorr e alberi sintattici astratti merkelizzati (MAST). La spesa predefinita consiste in una singola firma Schnorr, indistinguibile da una spesa tramite keypath. Le condizioni complesse sono nascoste in un albero di Merkle e vengono rivelate solo se utilizzate. Più privacy ed efficienza.

Bitcoin Core convalida gli script tramite un interprete basato su stack. CheckSig chiama VerifyScript, che esegue lo script combinato scriptSig+scriptPubKey. Per ogni opcode CHECKSIG, chiama CheckECDSASignature, che verifica la firma codificata in DER (r,s) rispetto all'hash della transazione utilizzando secp256k1.

Gli UTXO utilizzano Bitcoin Script, basato su stack. P2PKH: il modello di spesa più comune: verifica l'hash di una chiave pubblica, quindi controlla la firma ECDSA. SegWit risolve la malleabilità; Taproot aggiunge Schnorr e MAST. Prossimo argomento: crittanalisi differenziale.