Скрипт Bitcoin и проверка подписей UTXO

Bitcoin использует непотраченные выходы транзакций (UTXO). Каждый UTXO — это монета со скриптом блокировки (scriptPubKey). Чтобы потратить её, отправитель предоставляет скрипт разблокировки (scriptSig), удовлетворяющий скрипту блокировки. UTXO неделимы: они либо потрачены, либо не потрачены, но не могут быть потрачены частично.

Скрипт Bitcoin — это язык на основе стека, неполный по Тьюрингу. Скрипты выполняются путём помещения данных в стек и запуска опкодов. Ни циклов, ни рекурсии: выполнение скриптов всегда завершается. Это намеренное ограничение предотвращает отказ в обслуживании и делает проверку скрипта линейной — O(n) относительно его длины.

Самый распространённый тип выхода. scriptPubKey: OP_DUP OP_HASH160 OP_EQUALVERIFY OP_CHECKSIG. scriptSig: . Выполнение: поместить подпись и открытый ключ в стек, скопировать открытый ключ, вычислить его hash160, сравнить результат со встроенным хешем и проверить подпись ECDSA. Если все проверки пройдены, монету можно потратить.

Трассировка стека для P2PKH: поместить ; поместить ; OP_DUP → поместить копию; OP_HASH160 → вычислить hash160 для верхнего элемента; поместить ; OP_EQUALVERIFY → извлечь два элемента, завершить с ошибкой, если они не равны; OP_CHECKSIG → извлечь подпись и открытый ключ, проверить ECDSA и поместить TRUE/FALSE. Скрипт успешно выполнен, если результатом стало TRUE.

Bitcoin использует ECDSA над secp256k1 (кривой Коблица, y^2 = x^3 + 7 mod p). Закрытый ключ d ∈ [1, n-1]. Открытый ключ Q = d*G. Sign(m): случайное k; r = (k*G).x mod n; s = k^{-1}(H(m)+r*d) mod n. Подпись = (r, s). В scriptSig она кодируется в формате DER.

Подписи Bitcoin фиксируют определённые части транзакции: SIGHASH_ALL (по умолчанию): подписать все входы+выходы. SIGHASH_SINGLE: подписать только соответствующий выход. SIGHASH_NONE: не подписывать выходы (опасно). SIGHASH_ANYONECANPAY: подписать только собственный вход — это позволяет создавать совместные транзакции.

P2SH позволяет скрыть сложные условия траты за хешем. scriptPubKey: OP_HASH160 OP_EQUAL. scriptSig: . Выполнение: проверить, что hash(redeemScript) == scriptHash, а затем выполнить redeemScript. Это позволяет использовать мультиподпись, не раскрывая условия до момента траты.

redeemScript: OP_2 OP_3 OP_CHECKMULTISIG. scriptSig: OP_0 . OP_0 обходит ошибку в OP_CHECKMULTISIG, из-за которой из стека извлекается один лишний элемент. Для мультиподписи 2 из 3 требуются любые 2 из 3 подписей.

Segregated Witness (SegWit, BIP-141) перемещает подписи из scriptSig в отдельное поле witness. Это устраняет пластичность транзакций: её ID меняется при изменении scriptSig. scriptPubKey для P2WPKH: OP_0 <20-byte pubKeyHash>. Witness: [ ].

Taproot (BIP-340/341/342) использует подписи Шнорра и мерклизованные абстрактные синтаксические деревья (MAST). Вариант траты по умолчанию — одна подпись Шнорра, неотличимая от траты по ключевому пути. Сложные условия скрыты в дереве Меркла и раскрываются только при использовании. Это повышает конфиденциальность и эффективность.

Bitcoin Core проверяет скрипты с помощью интерпретатора стекового типа. CheckSig вызывает VerifyScript, который выполняет объединённые scriptSig+scriptPubKey. Для каждого опкода CHECKSIG он вызывает CheckECDSASignature, проверяющий закодированные в DER значения (r,s) по хешу транзакции с использованием secp256k1.

Что проверяет OP_CHECKSIG в скрипте P2PKH?

UTXO используют скрипт Bitcoin на основе стека. P2PKH — самый распространённый шаблон траты: сначала проверяется хеш открытого ключа, затем подпись ECDSA. SegWit устраняет пластичность, а Taproot добавляет подписи Шнорра и MAST. Далее: дифференциальный криптоанализ.