2021 年 11 月，比特幣在區塊高度 709,632 正式激活 Taproot 升級。Schnorr 簽名從此被引入比特幣共識規則，讓沿用十餘年的 ECDSA 簽名體系獲得了兼具效率與表達力的替代方案。隨後的幾年間，P2TR 輸出格式、MuSig2 密鑰聚合工具鏈以及 Tapscript 的工程實作逐步成熟，為比特幣在交易隱私、腳本擴展與鏈上安全性方面的演進提供了穩固的密碼學基礎。
從底層橢圓曲線簽名的數學特質出發，梳理 ECDSA 面臨的多簽痛點與 Schnorr 簽名的線性組合機制，進而解析 Taproot 雙路徑架構、MAST 承諾樹、手續費位元組計算與實際安全邊界，有助於釐清比特幣協議演進的真實全貌。
從 ECDSA 到 Schnorr：簽名機制的底層轉向
要理解 Schnorr簽名Taproot優勢，必須先審視傳統 ECDSA 的結構性瓶頸。ECDSA 的簽名方程為 s = k⁻¹ (z + r·x) mod n。式中包含臨時隨機值（nonce）的模逆項 k⁻¹，這使得多個獨立參與者的簽名無法直接透過代數相加融合成單一合法簽名。
在過去的多簽方案中，2-of-2 或 3-of-5 交易必須在鏈上完整揭露所有參與者的公鑰、每個人的獨立 DER 簽名以及多簽腳本本身。鏈上觀察者能一眼識別這是多簽操作，並獲知參與方總數與門檻條件，這帶來了明顯的鏈上腳印與隱私洩漏。
另一個長年存在的工程風險在於 nonce 的隨機性要求。ECDSA 要求每次簽名的 k 必須高度隨機且不可重用。歷史上曾多次出現因隨機數產生器瑕疵或 nonce 重用而直接導致私鑰被逆向推導的資安事故。
BIP340 定義的 Schnorr 簽名核心特質
根據 BIP340 規範，Schnorr 簽名方程簡化為 s = k + e·x mod n，其中 e 是由公鑰、臨時點與訊息計算得出的雜湊挑戰值。這一簡潔形式帶來了四項關鍵特性：
1. 原生支援線性聚合
在協調好臨時隨機數與挑戰值的前提下，多個簽名者的 s 值可直接相加，合成對應於聚合公鑰的單一合法簽名。相較於 ECDSA 需要依賴複雜的多方安全計算（MPC）門檻協議，Schnorr 提供了一種原生且簡潔的聚合路徑。
2. 固定 64 位元組的緊湊格式
傳統 ECDSA 採用 DER 編碼，長度通常在 70 至 72 位元組之間浮動。BIP340 規範的 Schnorr 簽名直接輸出 32 位元組的 R 與 32 位元組的 s，在預設的 SIGHASH_DEFAULT 模式下固定為 64 位元組（若指定雜湊類型旗標則為 65 位元組），顯著降低了空間開銷。
3. 確定性 Nonce 生成與防護
BIP340 將私鑰、公鑰與訊息共同雜湊來確定性推導 nonce，並允許引入可選的輔助隨機數據進行加固。這從根本上降低了因系統亂數產生器失效而意外洩漏私鑰的風險。
4. 數學層面的批次驗證能力
得益於代數方程的線性特徵，驗證節點在數學上可以將多個簽名合併為單個多純量乘法運算進行批次驗證，大幅提升高負載場景下的驗證效率。
密鑰聚合：MuSig2 與閾值簽名
利用 Schnorr 的線性性質，BIP327 (MuSig2) 協議實現了高效的兩輪交互多簽：
參與者在鏈下共同生成一個聚合公鑰，並在花費時透過兩輪通訊各自產生部分簽名，最終組裝為一個標準的 64 位元組 Schnorr 簽名。對於區塊鏈而言，該筆交易的外觀與一般單簽支付完全一致。
針對多簽聚合中的「流氓密鑰攻擊（Rogue-key Attack）」，MuSig2 透過對每個參與公鑰賦予雜湊權重係數，有效防止了惡意方透過精心構造公鑰來竊取整體控制權。此外，基於 Schnorr 的門檻簽名方案（如 IRTF RFC 9591 定義的 FROST 協議）進一步實現了 t-of-n 門檻簽章，鏈上同樣呈現為單一簽名。目前 FROST 在硬體簽名器和終端錢包的整合仍在推進中，是機構級託管領域的重要演進方向。
Taproot 雙路徑架構：密鑰路徑與腳本路徑
由 BIP341 (Taproot) 定義的 P2TR 輸出將兩條完全不同的解鎖途徑合二為一：
輸出公鑰的構建（Tweak 機制）
用戶先選定一個內部公鑰 P（32 位元組 x-only 格式）。若包含備用腳本，則將腳本集合組織為 Merkle 樹並計算出根雜湊 m。透過雜湊計算調整值 t = H(P || m)，最終寫入鏈上的輸出公鑰為 Q = P + t·G。
密鑰路徑花費（Key Path Spending）
當所有參與方達成一致時，直接使用內部私鑰加上調整值 t 進行簽名。見證欄位僅包含一個 64 位元組簽名及長度前綴（共 66 位元組），外部觀察者無法分辨這背後是個人帳戶、多簽組織還是複雜的智慧合約。
腳本路徑與 MAST（Script Path Spending）
在需要執行備用條款時（例如超時退款、緊急密鑰），花費者只需提供該分支的具體腳本、內部公鑰以及 Merkle 證明（控制區塊 Control Block）。其餘未執行的腳本分支僅以雜湊形式存在，永遠不會暴露在區塊鏈上，兼顧了靈活性與隱私性。
Tapscript：腳本環境的現代化更新
BIP342 (Tapscript) 為 Taproot 腳本路徑引入了多項優化：
- 操作碼重構：停用存在歷史缺陷的
OP_CHECKMULTISIG，改用更直觀靈活的OP_CHECKSIGADD，便於編寫任意門檻的多簽條件。 - 限制機制優化：移除了原先 10,000 位元組的腳本尺寸上限與 201 個非推送操作碼限制，改用基於見證資料規模的簽名驗證預算（Sigops Budget）動態管理資源消耗（註：520 位元組的單一堆疊元素上限依然保留）。
- 升級預留空間：保留了
OP_SUCCESS操作碼集合，為未來的軟分叉功能升級預留了平滑相容通道。
手續費與資料規模量化對比
基於 BIP141 隔離見證規範，見證資料享有四分之一的權重折扣。以下是不同交易類型在花費階段的數據負擔對比：
| 花費輸出類型 | 解鎖資料內容 | 見證大小與虛擬體積（vB） |
|---|---|---|
| 傳統 P2PKH | DER 簽名 + 壓縮公鑰（非隔離見證） | 約 107 位元組，單輸入合計約 148 vB |
| 原生隔離見證 P2WPKH | DER 簽名 + 壓縮公鑰（Witness） | 約 107 位元組，單輸入合計約 68 vB |
| 傳統多簽 P2WSH (2-of-2) | 2 個 DER 簽名 + 2 把公鑰 + 見證腳本 | 約 220+ 位元組，單輸入合計約 105 vB |
| P2TR 密鑰路徑（單簽/MuSig2） | 單一 64 位元組 Schnorr 簽名 | 見證 66 位元組（16.5 vB），單輸入合計約 57.5 vB |
從數據可見，相較於 P2WPKH，P2TR 密鑰路徑單簽輸入可節省約 10.5 vB（見證資料體積縮減近四成）；而在多簽場景下，MuSig2 將多個簽名壓縮為單一 Schnorr 簽名，手續費節省更為顯著。
隱私邊界與實作安全性取捨
在享受技術紅利的同時，開發與設計端需客觀評估各項安全邊界：
- 隱私是「外觀一致性」而非「絕對匿名」：Taproot 讓常規支付與合約多簽在鏈上呈現相同外觀，但若錢包存在地址重複使用、找零地址格式不一致或金額關聯特徵，鏈上分析工具依然可以進行聚類追蹤。
- MuSig2 會話狀態防護：聚合簽名過程中嚴禁重用 nonce。若同一臨時密鑰被用於不同訊息簽署，會導致私鑰外洩。錢包實作必須確保隨機狀態池的生命週期隔離。
- 備份與還原依賴：使用帶有 MAST 樹的 P2TR 錢包時，備份方案不僅要保存私鑰助記詞，還必須記錄完整的 Merkle 樹結構與腳本內容，否則在需要走腳本路徑時將無法生成控制區塊。
- 公鑰直接暴露考量：P2TR 輸出直接在鏈上公開 32 位元組公鑰，不再經過額外的雜湊包裝（如 P2PKH/P2WPKH）。在當前密碼學體系下極為安全，但在後量子密碼學的長期討論中常作為架構特徵被提及。
常問問題 (FAQ)
Q1：Taproot 能直接聚合同一筆交易中多個不同輸入（Input）的簽名嗎？
不能。當前 Taproot 的簽名聚合發生在「單個輸入內部」（如 MuSig2 聚合多方公鑰與簽名）。跨輸入簽名聚合（Cross-Input Signature Aggregation, CISA）涉及更複雜的共識變更，目前仍處於理論研究與社群探討階段。
Q2：向以 bc1p 開頭的 Taproot 地址轉帳，手續費會比原生 SegWit 更便宜嗎？
在「發送階段」（創建輸出），P2TR 輸出（43 位元組）略大於 P2WPKH 輸出（31 位元組），因此創建輸出的手續費會微幅增加；但當收款方未來「花費該筆資金」（作為輸入）時，P2TR 密鑰路徑的見證資料顯著縮減，花費成本將明顯降低。
Q3：ECDSA 簽名體系未來會從比特幣中被徹底移除嗎？
不會。比特幣透過軟分叉引入 Taproot，始終維持嚴格的向後相容性。舊有的 P2PKH、P2SH 以及 P2WPKH 等基於 ECDSA 的輸出腳本依然有效，使用者與開發者可根據實際需求自主選擇合適的地址架構。
