Bitcoin Script i weryfikacja podpisów UTXO

Bitcoin używa niewydanych wyjść transakcji (UTXO). Każde UTXO jest monetą ze skryptem blokującym (scriptPubKey). Aby je wydać, wydający dostarcza skrypt odblokowujący (scriptSig), który spełnia warunki skryptu blokującego. UTXO są niepodzielne — są albo wydane, albo niewydane, nigdy częściowo.

Bitcoin Script to oparty na stosie język niezupełny w sensie Turinga. Skrypty wykonują się przez umieszczanie danych na stosie i uruchamianie kodów operacji. Nie ma pętli ani rekurencji — skrypty zawsze się kończą. To celowe ograniczenie zapobiega atakom typu denial-of-service i sprawia, że weryfikacja skryptu ma złożoność O(n) względem jego długości.

Najczęściej spotykany typ wyjścia. scriptPubKey: OP_DUP OP_HASH160 OP_EQUALVERIFY OP_CHECKSIG. scriptSig: . Wykonanie: umieść podpis i klucz publiczny na stosie, zduplikuj klucz publiczny, oblicz hash160, porównaj wynik z osadzonym skrótem, zweryfikuj podpis ECDSA. Jeśli wszystkie kroki się powiodą, monetę można wydać.

Ślad stosu dla P2PKH: push ; push ; OP_DUP → umieść kopię; OP_HASH160 → oblicz hash160 dla elementu na szczycie stosu; push ; OP_EQUALVERIFY → zdejmij dwa elementy, zakończ niepowodzeniem, jeśli nie są równe; OP_CHECKSIG → zdejmij podpis i klucz publiczny, zweryfikuj ECDSA, umieść TRUE/FALSE na stosie. Skrypt kończy się powodzeniem, jeśli wynikiem jest TRUE.

Bitcoin używa ECDSA na krzywej secp256k1 (krzywej Koblitz, y^2 = x^3 + 7 mod p). Klucz prywatny d ∈ [1, n-1]. Klucz publiczny Q = d*G. Sign(m): k losowe; r = (k*G).x mod n; s = k^{-1}(H(m)+r*d) mod n. Podpis = (r, s). Jest kodowany w formacie DER w scriptSig.

Podpisy Bitcoin określają, które części transakcji obejmują: SIGHASH_ALL (domyślnie): podpisuje wszystkie wejścia i wyjścia. SIGHASH_SINGLE: podpisuje tylko odpowiadające mu wyjście. SIGHASH_NONE: nie podpisuje żadnych wyjść (niebezpieczne). SIGHASH_ANYONECANPAY: podpisuje tylko własne wejście — umożliwia tworzenie transakcji współtworzonych przez wiele stron.

P2SH pozwala ukryć złożone warunki wydawania środków za skrótem. scriptPubKey: OP_HASH160 OP_EQUAL. scriptSig: . Wykonanie: sprawdź, czy hash(redeemScript) == scriptHash, a następnie wykonaj redeemScript. Umożliwia stosowanie multisig bez ujawniania warunków aż do chwili wydania środków.

redeemScript: OP_2 OP_3 OP_CHECKMULTISIG. scriptSig: OP_0 . OP_0 omija błąd w OP_CHECKMULTISIG, który zdejmuje ze stosu o jeden element za dużo. Multisig 2 z 3 wymaga dowolnych 2 z 3 podpisów.

Segregated Witness (SegWit, BIP-141) przenosi podpisy z scriptSig do osobnego pola witness. Eliminuje podatność transakcji na modyfikację (identyfikator zmienia się, gdy zmieni się scriptSig). scriptPubKey P2WPKH: OP_0 <20-byte pubKeyHash>. Witness: [ ].

Taproot (BIP-340/341/342) używa podpisów Schnorra i zmerklizowanych abstrakcyjnych drzew składniowych (MAST). Domyślne wydanie środków: pojedynczy podpis Schnorra (nierozróżnialny od wydania ścieżką klucza). Złożone warunki są ukryte w drzewie Merkle'a i ujawniane tylko wtedy, gdy są używane. Prywatność i wydajność.

Bitcoin Core weryfikuje skrypty za pomocą interpretera stosowego. CheckSig wywołuje VerifyScript, które wykonuje połączone scriptSig+scriptPubKey. Dla każdego kodu operacji CHECKSIG wywołuje CheckECDSASignature, które weryfikuje zakodowane w formacie DER (r,s) względem skrótu transakcji, używając secp256k1.

UTXO używają opartego na stosie Bitcoin Script. P2PKH to najczęstszy schemat wydawania środków — najpierw weryfikuje skrót klucza publicznego, a następnie podpis ECDSA. SegWit eliminuje podatność na modyfikację; Taproot dodaje podpisy Schnorra i MAST. Dalej: kryptoanaliza różnicowa.