什么是Taproot？Taproot升级给比特币带来了哪些好处？

比特币在2021年11月12日区块709,632上激活了Taproot升级，这可不是一次小打小闹的版本更新。从核心层面看，它给比特币带来了交易隐私、网络扩展性和脚本灵活性上的显著提升。如果你对“比特币还能怎么升级”有点好奇，下面这段内容应该能帮你理清脉络。

Taproot 是什么？

是比特币在2021年11月上线的一项重大协议升级，核心目标很明确：提升交易隐私、增强网络扩展性，并让脚本变得更灵活。和以往那些更新不同，Taproot 引入了一种叫 的新型签名算法，同时对脚本结构做了强化。它能让复杂交易在区块链上看起来跟普通交易几乎一模一样——这不仅是隐私上的进步，也为构建更复杂的应用场景（比如智能合约）打下了基础。

Taproot、Ordinal 和 Inscription

从2023年初开始，Taproot 在比特币圈子里引发了不少争议。原因在于，开发者开始用它往区块链里塞非交易数据——比如 ordinal、铭文，以及以NFT形式出现的图像。这到底对网络长期发展好不好？观点分歧很大。好处是给矿工带来了额外收入，坏处是普通用户使用区块链的成本也提高了。它把网络的主要用途从纯粹的货币功能扩展到了其他领域，但其中很大一部分扩展跟反赌有关，一些用户对为此买单并不买账。

实际上，在 Taproot 之前，往区块链里加非交易数据就已经可以做到，只是更困难、更昂贵。如果根本做不到，那对比特币的影响就严重了。

Taproot 升级包含哪些内容？

Taproot 升级由三个比特币改进提案（BIPs）组成，分别定义了比特币协议的三项不同升级：

• Schnorr 签名（BIP 340）
• Taproot（BIP 341）
• Tapscript（BIP 342）

这三个升级合起来就叫 Taproot 升级，业内通常统称为 BIP Taproot。它们引入了一套更高效、更灵活、更私密的比特币转账方式。

Schnorr 签名 - BIP 340

作为 Taproot 升级的一部分，BIP 340 把 Schnorr 签名带到了比特币里。Schnorr 签名带来的好处包括更好的隐私、更低的费用，以及更灵活的多重签名功能。这个 BIP 还规定了 Schnorr 公钥和签名在比特币中的编码方式：Schnorr 公钥长度为32字节，而 ECDSA 公钥是33字节；Schnorr 签名长度为64字节，ECDSA 签名则是71-72字节（含sighash标志）。这些空间上的节省，直接体现在采用 Taproot 的用户能省下的手续费上。

Taproot - BIP 341

BIP 340 定义了生成和编码 Schnorr 签名及公钥的规范，而 BIP 341 则定义了比特币协议如何集成这些签名。具体来说，比特币脚本必须更新才能支持 Schnorr 签名。Taproot 还集成了默克尔化替代脚本树（MAST），允许用户把输出锁定到多个脚本上。

关键事实：付款到 Taproot 输出是版本1 SegWit 输出，所有 Taproot 交易都是 SegWit 交易。

付款到 Taproot（P2TR）

Taproot 还引入了一种新的脚本类型——也就是一种新的比特币花费方式。付款到 Taproot（P2TR）允许用户支付给 Schnorr 公钥

各种其他脚本的 Merkle 根。借助这种新脚本类型，用户可以创建一个未花费交易输出（UTXO），它既可以被私钥持有者解锁，也可以被满足 Merkle 树中任意脚本条件的人解锁并花费。

密钥聚合

Schnorr 的密钥聚合功能正是实现这种灵活性的关键。当比特币发送到 P2TR 输出时，它被锁定到一个名为 Q 的单个公钥。但这个公钥 Q 实际上是由公钥 P 和另一个公钥（由许多其他脚本的 Merkle 根形成）聚合而成的。因此，可以使用 Merkle 树中的任何替代脚本来花费这个输出。

付款到 Taproot（P2TR）允许用户将比特币发送到公钥或其选择的多个脚本。这既保护了区块链上的隐私，也节省了空间。

这种设计让用户在花费时可以选择复杂的、任意的脚本，或者简单的付款到公钥功能——而不是在接收时做选择。同时，所有 Taproot 输出看起来都一样。因为多重签名输出、单签名输出和其他复杂的智能合约在区块链上外观一致，许多链分析启发式方法就失效了，从而为所有 Taproot 用户提供了隐私保护。

Tapscript - BIP 342

为了支持 P2TR 交易，BIP 342 添加并更新了几个操作码。这些新脚本用于验证 Taproot 花费和 Schnorr 签名，它们统称为 Tapscript。Tapscript 的设计目标就是最大化 P2TR 花费的未来灵活性，为后续升级留出空间。

Taproot 的好处

Taproot 升级为采用它的用户，甚至不采用的用户，带来了不少好处。Schnorr 签名在隐私和安全方面贡献显著，而 Taproot 和 Tapscript 也有各自的优势。

空间节省

大多数 Taproot（P2TR）输出在区块链上占用的空间比普通 P2PKH 输出少，但比 P2WPKH 输出稍大。这主要是因为 P2TR 输出直接把比特币锁定到公钥，而不是公钥的哈希值。所以发送到 Taproot 输出会稍微贵一点——公钥占的空间比哈希值大。但花费 Taproot 输出要便宜得多，因为公钥已经包含在 scriptPubKey 里，不需要再包含在脚本见证中。此外，Taproot 定义的 Schnorr 公钥和签名编码方案比 ECDSA 版本更短，进一步节省了费用。

隐私好处

Taproot 的隐私影响可能是这次升级中最关键的部分。通过引入 Schnorr 签名和密钥聚合，多重签名合同不再与单签名合同有什么区别，所有 Taproot 用户都能获得隐私保护。

关键事实：由于闪电网络依赖 2-of-2 多重签名，Taproot 使得分辨哪些交易创建了闪电通道变得不可能。

MAST 的集成也带来了重要的隐私好处。如上所述，Taproot 允许比特币同时锁定到多个脚本。但花费时，用户不需要透露所有可能解锁的脚本——只需要展示他们实际使用的那个。在大多数情况下，Taproot 用户会使用付款到公钥选项，这样他们就能把备用方案保留在私密状态。

安全升级

在技术和理论层面，Schnorr 签名被认为比 ECDSA 更安全，因为 Schnorr 签名可以用更少的假设来证明其安全性。和所有椭圆曲线密码方案一样，ECDSA 和 Schnorr 都依赖离散对数问题难解的假设。但 ECDSA 为了安全性还额外依赖了其他假设。当然，在比特币存在的这些年里，ECDSA 还没出现过系统性被攻破的案例。不过，Schnorr 签名消除了 ECDSA 签名可能存在的任何签名可塑性——虽然 SegWit 升级已经解决了交易可塑性问题，但 ECDSA 签名的可塑性依然存在。

Taproot 启用了 Taro 协议

Taro 是一个由 Taproot 驱动的协议，允许用户在比特币区块链和闪电网络上发行资产。通过以 Taproot 为中心的设计，这种资产发行可以比以往更私密、更可扩展——这是以前尝试在比特币上发行其他资产时没能做到的。Taro 由闪电实验室在2022年4月提出。它利用 Taproot 将资产元数据嵌入到现有交易输出中，Schnorr 签名则用于提高简单性和可扩展性。Taro 这个名字是“Taproot 资产表示叠加”的首字母缩写，可以说，没有 Taproot，这个升级就不可能实现。

Taproot 激活

比特币的升级通常从开发者社区讨论开始。提案正式化后，会分配一个 BIP 编号。在代码编写、审查、测试和合并之后，比特币节点运营者需要决定如何以及何时激活升级。Schnorr、Taproot 和 Tapscript 升级在2020年1月分别被分配了 BIP 340、341 和 342，从那以后一直在讨论和开发中。到2020年底，所有三个升级的代码实现已经完成，经过测试、审查并合并到了比特币核心中。

2021年5月，超过90%的矿工表示支持 Taproot 激活。最终，BIP 340、341 和 342 在2021年11月12日的第709,632个区块上被激活并强制执行。比特币社区有几种激活升级的方法，他们选择了一条路径并执行了。

比特币激活路径

BIP 8 和 BIP 9 是两种流行的激活方法。两者都从调查矿工支持度开始——如果绝大多数矿工通过在他们挖出的区块中写入消息来表示支持，升级就会被激活。区别在于矿工支持不足时如何处理：BIP 9 规定升级不应进行，而 BIP 8 规定升级应在延迟期后强制激活。在 Taproot 激活的背景下，这两个提案的变体都曾被提出。但比特币社区对 Taproot 的支持是压倒性的，几乎没有任何批评。因此，具体的激活路径其实并不重要。

小结

• Taproot 是比特币的一次升级，引入了多项新功能。
• 它把 Schnorr 数字签名方案集成到比特币中，升级了核心密码学。
• 在 SegWit 升级的基础上，进一步提高了比特币的隐私性并降低了交易费用。
• 通过改革比特币的脚本语言，使未来的比特币升级更加容易。