Bitcoin Script och UTXO-signaturverifiering

Bitcoin använder outnyttjade transaktionsutdata (UTXO:er). Varje UTXO är ett mynt med ett låsningsskript (scriptPubKey). För att spendera det tillhandahåller spenderaren ett upplåsningsskript (scriptSig) som uppfyller låsningsskriptet. UTXO:er är odelbara – antingen spenderade eller outnyttjade, aldrig delvis spenderade.

Bitcoin Script är ett stackbaserat språk som inte är Turing-komplett. Skript körs genom att data läggs på stacken och opkoder körs. Inga loopar, ingen rekursion – skript terminerar alltid. Denna avsiktliga begränsning förhindrar denial-of-service-attacker och gör skriptverifieringen O(n) i förhållande till skriptets längd.

Den vanligaste typen av utdata. scriptPubKey: OP_DUP OP_HASH160 OP_EQUALVERIFY OP_CHECKSIG. scriptSig: . Körning: lägg sig+pubkey på stacken, duplicera pubkey, beräkna hash160, jämför med den inbäddade hashen och verifiera ECDSA-signaturen. Om allt lyckas kan myntet spenderas.

Stackspår för P2PKH: lägg på stacken; lägg på stacken; OP_DUP → lägg en kopia på stacken; OP_HASH160 → beräkna hash160 för det översta elementet; lägg på stacken; OP_EQUALVERIFY → ta bort två element och misslyckas om de inte är lika; OP_CHECKSIG → ta bort sig+pubKey, verifiera ECDSA och lägg TRUE/FALSE på stacken. Skriptet lyckas om resultatet är TRUE.

Bitcoin använder ECDSA över secp256k1 (Koblitz-kurvan, y^2 = x^3 + 7 mod p). Den privata nyckeln d ∈ [1, n-1]. Den publika nyckeln Q = d*G. Sign(m): k är slumpmässigt; r = (k*G).x mod n; s = k^{-1}(H(m)+r*d) mod n. Signaturen = (r, s). DER-kodad i scriptSig.

Bitcoin-signaturer binder specifika delar av transaktionen: SIGHASH_ALL (standard): signera alla indata+utdata. SIGHASH_SINGLE: signera endast motsvarande utdata. SIGHASH_NONE: signera inga utdata (farligt). SIGHASH_ANYONECANPAY: signera endast den egna indatan – möjliggör samarbetsbaserade transaktioner.

P2SH gör det möjligt att dölja komplexa spenderingsvillkor bakom en hash. scriptPubKey: OP_HASH160 OP_EQUAL. scriptSig: . Körning: verifiera att hash(redeemScript) == scriptHash och kör sedan redeemScript. Detta möjliggör multisig utan att villkoren avslöjas förrän myntet spenderas.

redeemScript: OP_2 OP_3 OP_CHECKMULTISIG. scriptSig: OP_0 . OP_0 kringgår en bugg i OP_CHECKMULTISIG som tar bort ytterligare ett stackelement. Multisig med 2 av 3 kräver två valfria av de tre signaturerna.

Segregated Witness (SegWit, BIP-141) flyttar signaturerna från scriptSig till ett separat witness-fält. Det åtgärdar transaktionsmalleabilitet (ID:t ändras om scriptSig ändras). P2WPKH scriptPubKey: OP_0 <20-byte pubKeyHash>. Witness: [ ].

Taproot (BIP-340/341/342) använder Schnorr-signaturer och Merkleiserade abstrakta syntaxträd (MAST). Standardspendering: en enda Schnorr-signatur, som inte kan skiljas från en keypath-spendering. Komplexa villkor döljs i ett Merkle-träd och avslöjas endast om de används. Integritet + effektivitet.

Bitcoin Core validerar skript i en stacktolk. CheckSig anropar VerifyScript, som kör det kombinerade scriptSig+scriptPubKey. För varje CHECKSIG-opkod anropar den CheckECDSASignature, som verifierar den DER-kodade (r,s) mot transaktionens hash med hjälp av secp256k1.

UTXO:er använder det stackbaserade Bitcoin Script. P2PKH är det vanligaste spenderingsmönstret: hasha och verifiera en publik nyckel och kontrollera sedan ECDSA-signaturen. SegWit åtgärdar malleabilitet; Taproot lägger till Schnorr och MAST. Nästa avsnitt: differentiell kryptoanalys.