Script do Bitcoin e verificação de assinaturas UTXO

O Bitcoin usa saídas de transações não gastas (UTXOs). Cada UTXO é uma moeda com um script de bloqueio (scriptPubKey). Para gastá-la, quem a gasta fornece um script de desbloqueio (scriptSig) que satisfaz o script de bloqueio. Os UTXOs são atômicos: gastos ou não gastos, nunca parcialmente.

O Bitcoin Script é uma linguagem baseada em pilha e não completa de Turing. Os scripts são executados empilhando dados e executando códigos de operação. Não há laços nem recursão: os scripts sempre terminam. Essa limitação intencional evita ataques de negação de serviço e faz com que a verificação do script seja O(n) em relação ao seu tamanho.

Tipo de saída mais comum. scriptPubKey: OP_DUP OP_HASH160 OP_EQUALVERIFY OP_CHECKSIG. scriptSig: . Execução: empilhe sig+pubkey, duplique pubkey, calcule hash160, compare com o hash incorporado e verifique a assinatura ECDSA. Se tudo passar: a moeda poderá ser gasta.

Rastreamento da pilha para P2PKH: empilhe ; empilhe ; OP_DUP → empilhe uma cópia; OP_HASH160 → calcule hash160 do topo; empilhe ; OP_EQUALVERIFY → retire dois itens e falhe se não forem iguais; OP_CHECKSIG → retire sig+pubKey, verifique a assinatura ECDSA e empilhe TRUE/FALSE. O script será bem-sucedido se o resultado for TRUE.

O Bitcoin usa ECDSA sobre secp256k1 (curva de Koblitz, y^2 = x^3 + 7 mod p). A chave privada d ∈ [1, n-1]. A chave pública Q = d*G. Sign(m): k aleatório; r = (k*G).x mod n; s = k^{-1}(H(m)+r*d) mod n. A assinatura = (r, s). Codificada em DER no scriptSig.

As assinaturas do Bitcoin vinculam partes específicas da transação: SIGHASH_ALL (padrão): assina todas as entradas+saídas. SIGHASH_SINGLE: assina apenas a saída correspondente. SIGHASH_NONE: não assina nenhuma saída (perigoso). SIGHASH_ANYONECANPAY: assina apenas a própria entrada, permitindo transações colaborativas.

P2SH permite ocultar condições complexas de gasto atrás de um hash. scriptPubKey: OP_HASH160 OP_EQUAL. scriptSig: . Execução: verifique se hash(redeemScript) == scriptHash e, em seguida, execute redeemScript. Isso permite multissinaturas sem revelar as condições até o momento do gasto.

redeemScript: OP_2 OP_3 OP_CHECKMULTISIG. scriptSig: OP_0 . OP_0 contorna um erro em OP_CHECKMULTISIG que retira um item extra da pilha. A multissinatura 2 de 3 exige quaisquer 2 das 3 assinaturas.

A Testemunha Segregada (SegWit, BIP-141) move as assinaturas do scriptSig para um campo separado de testemunha. Corrige a maleabilidade das transações (o ID muda se o scriptSig mudar). scriptPubKey do P2WPKH: OP_0 <20-byte pubKeyHash>. Testemunha: [ ].

Taproot (BIP-340/341/342) usa assinaturas Schnorr e Árvores de Sintaxe Abstrata Merkelizadas (MAST). Gasto padrão: uma única assinatura Schnorr, indistinguível de um gasto pelo caminho da chave. As condições complexas ficam ocultas em uma árvore de Merkle e só são reveladas se forem usadas. Privacidade + eficiência.

O Bitcoin Core valida scripts em um interpretador de pilha. CheckSig chama VerifyScript, que executa o scriptSig+scriptPubKey combinado. Para cada código de operação CHECKSIG, ele chama CheckECDSASignature, que verifica o (r,s) codificado em DER usando o hash da transação e secp256k1.

O que OP_CHECKSIG verifica em um script P2PKH?

Os UTXOs usam o Bitcoin Script baseado em pilha. P2PKH: o padrão de gasto mais comum: calcula o hash e verifica uma chave pública, depois verifica a assinatura ECDSA. SegWit corrige a maleabilidade; Taproot adiciona Schnorr e MAST. Próximo: criptoanálise diferencial.