比特币Taproot详解：升级机制解析

比特币 Taproot 是一项于2021年11月激活的协议升级，该升级提升了比特币的隐私性，降低了复杂交易的手续费，并为开发者提供了更灵活的脚本环境。 这是自2017年SegWit以来比特币的首次重大升级，整合了三项比特币改进提案：Schnorr签名（BIP 340）、Taproot输出类型（BIP 341）以及一种名为Tapscript （BIP 342）。Taproot地址以`bc1p`开头，在技术上被称为“Pay-to-Taproot”（P2TR）。

Taproot 的实际影响与最初的设想大相径庭。这一原本旨在提高多签名钱包和闪电通道效率的升级，却意外地催生了 Ordinals、Inscriptions、BRC-20 代币和 Runes，从而引发了一股热潮，占据了比特币区块空间近两年之久。 本指南将介绍 Taproot 的真实本质、其三个组成部分的运作机制，以及为何其实际发展轨迹与最初的规划产生了如此巨大的偏差。

通过自主托管，安全管理您的比特币和其他加密货币 Bitcoin.com 钱包应用.

要点总结

• 比特币Taproot是一次软分叉升级，于2021年11月14日在区块高度709,632处激活，这是自2017年SegWit以来比特币协议的首次重大升级。
• 它整合了三项比特币改进提案：BIP 340（Schnorr 签名）、BIP 341（Pay-to-Taproot 输出类型）和 BIP 342（Tapscript 脚本语言）。
• Taproot 通过使多签名支付和闪电通道关闭等复杂交易在链上看起来与单签名支付完全相同，从而提升了隐私性，并将此类交易的手续费降低了约 25%。
• Taproot 地址以 bc1p 并采用 Bech32m 编码，以此将其与以 bc1q.
• 这种专为多签名和闪电网络设计的灵活性，也促成了Ordinals（2022年12月）、BRC-20代币和Runes（2024年4月）的诞生。截至2026年4月，根据大多数指标，Taproot交易约占比特币交易总量的五分之一。

Taproot的起源

Taproot 最初由格雷戈里·麦克斯韦尔（Gregory Maxwell）于 2018 年 1 月提出，他是比特币最早且最富成果的协议贡献者之一。 其核心理念——利用一种密码学技巧，使复杂交易与简单交易无法区分——从抽象意义上讲并非新概念。但麦克斯韦尔的具体实现方案，使得该方案能够在不破坏与旧版节点兼容性的前提下，实际部署到比特币网络中。

此后，该提案经历了长达三年多的审查、完善和讨论。其加密机制受到了仔细审查，替代方案也被纳入考量，社区成员们则一直在探讨如何精准地激活此次升级，同时避免重蹈2017年围绕SegWit所引发的那场充满争议的激活之争。 最终的解决方案是“快速审判”（Speedy Trial）——一种设有时间限制的激活机制，它给予矿工三个月的窗口期来表明准备就绪。2021年6月，矿工投票达到了所需的90%门槛，Taproot也于同年晚些时候确定了激活时间。

Taproot 历经数年精心开发，最终得以平稳上线，这本身就讲述了一个关于比特币如何升级的故事。基础协议的变更之所以刻意保持缓慢且保守，是因为一旦部署，数十亿美元的价值就将取决于这些变更能否永远正常运行。

《三根主根》

要全面理解 Taproot，最好逐一分析其三个组成提案。每个提案的功能各不相同，且它们的设计初衷是协同工作。完整规范已发布在 比特币改进提案（BIP）仓库.

BIP 340：Schnorr 签名

每笔比特币交易都需要一个数字签名，以证明付款人有权转移这些币。从2009年推出直至Taproot升级之前，比特币一直使用一种名为ECDSA（椭圆曲线数字签名算法）的签名方案。 ECDSA 虽然运行良好，但它有一个棘手的数学特性：签名不具备线性性质，这意味着无法轻松地将多个签名合并为一个。

BIP 340 中引入的 Schnorr 签名具有线性特性。这一特性带来了诸多实际优势。

最重要的是 密钥聚合. 如果三个人共同签署一笔交易（例如，3/3 多重签名支出），Schnorr 协议允许他们使用一个组合公钥生成一个组合签名。 从外部来看，该交易与单签名支付完全相同。区块链存储的数据更少，各方支付的手续费更低，且任何观察区块链的人都无法获知该多签名安排的任何信息。

Schnorr 签名比 ECDSA 签名略小，并且支持高效的批量验证，这有助于全节点更快地处理区块。其密码学安全假设与 ECDSA 基本相同。这两种方案都依赖于 secp256k1 曲线上的椭圆曲线离散对数问题的难度。

BIP 341：Taproot（P2TR）

BIP 341 定义了一种新的输出类型：Pay-to-Taproot（简称 P2TR）。正是这一类型创造了 bc1p- 您可能见过的以...为前缀的地址。

P2TR 背后的核心思想是，每个 Taproot 输出同时承诺两种花费方式：

• 关键路径。 持有者只需使用正确的密钥生成一个施诺尔签名，即可像进行普通支付一样花费这些代币。
• 脚本路径。 一个包含多种替代性支出条件的隐藏树，其中任何一个条件都可以被揭示，并用于替代性地支出该产出。

这个替代脚本树是利用一种称为 梅克尔化替代脚本树，或称 MAST。MAST 允许交易承诺满足多种可能的支出条件（多签名后备方案、时间锁、哈希锁、争议解决分支），但除非这些条件被实际使用，否则不会将任何一项写入区块链。 只有被执行的特定分支会被披露，同时附带一个简短的密码学证明，证明该分支属于原始承诺的一部分。每个未使用的分支都不占用区块空间，也不会泄露任何信息。

结合施诺尔（Schnorr）密钥聚合机制，这意味着绝大多数 Taproot 支出——即使是极其复杂的交易——在区块链上都表现为普通的密钥路径支出。一个 2-of-3 多签钱包、一个闪电网络通道的合作关闭、一个带有定时锁定恢复路径的保险库，以及一笔日常个人支付，在外观上都可能完全相同。

BIP 342：Tapscript

第三项提案 BIP 342 对比特币的脚本语言进行了现代化改造，以便在 Taproot 脚本路径中使用。其结果被称为 Tapscript。

Tapscript 并非一种全新的语言。它是现有比特币脚本（Bitcoin Script）的优化版本，去除了若干遗留的怪癖，并添加了一些适度的改进：

• 签名操作现验证Schnorr签名，而非ECDSA签名
• 放宽了从早期软分叉继承而来的严格脚本大小限制
• 一个新的操作码， OP_CHECKSIGADD，使适合批量处理的多签名验证更加高效
• 一种新的签名哈希算法覆盖了更多的交易数据，从而遏制了某些类型的隐蔽签名攻击

正是 Tapscript 赋予了 Taproot 这种前瞻性的灵活性。未来的软分叉可以通过新增操作码和功能来扩展它，而不会影响现有的 Taproot 输出。

Taproot 与 SegWit：对比分析

SegWit 和 Taproot 通常被归为比特币最重要的两项现代升级，但它们的设计初衷是解决不同的问题。SegWit 于 2017 年启用，主要致力于解决交易可变性问题，并有效扩大区块容量。四年后推出的 Taproot 则侧重于隐私保护和脚本灵活性。 这两项升级互为补充，而非功能重叠。

从技术上讲，Taproot 是一种 SegWit 1.0 输出，这就是为什么这两项升级都使用 bc1 前缀。区别在于后面的字符： q 针对 SegWit v0 以及 p 用于 Taproot。

Taproot 本应改进的地方

在Taproot正式启用前的几年里，其推广重点集中在三大具体优势上：

• 隐私。 由于Schnorr聚合和MAST技术使得几乎每笔支出都看起来像是一笔普通的单签名支付，因此链上分析工具很难通过链上指纹来识别多签名钱包、闪电网络通道以及其他复杂的设置。 随着越来越多的用户采用 Taproot，隐私优势将进一步增强，因为“看似简单支付的交易”所构成的匿名集将不断扩大。
• 降低复杂交易的费用。 比特币交易手续费按字节计费。Schnorr 签名比 ECDSA 签名略小，密钥聚合技术可将多个签名合并为一个，而 MAST 技术则能将未使用的脚本分支完全保留在链下。对于典型的多签名钱包，其占用的链上空间可减少至原来的约四分之一。
• 为第二层协议提供更好的基础设施。 尤其是闪电网络，预计将通过一项名为“点时间锁定合约”（PTLC）的功能从Schnorr签名中受益。PTLC将取代闪电网络当前使用的哈希锁定路由机制，转而采用一种能够消除各跳之间支付关联性的方案，从而提升路由支付的隐私性。 通道生成器、eltoo 风格的通道更新以及离散日志合约（Discreet Log Contracts）也都受益于 Schnorr 算法的线性特性。

这些都是预料之中的胜利。它们确有其事，且正逐渐显现。但这并非大多数人对上线后那几年最深刻的记忆。《序数如何改变了叙事》

2022年12月，凯西·罗达莫尔推出了 序数词，将数据嵌入到Taproot交易中。

序数和铭文如何赋予Taproot新的用途

2022年12月，一位名叫凯西·罗达莫尔（Casey Rodarmor）的软件工程师利用Taproot放宽的脚本限制，做了一件出乎意料的事情。他将一张图片直接嵌入到比特币交易的见证数据中。他将该协议称为 序数词，以及嵌入的数据“铭文”。第一条铭文于2022年12月14日上链，该协议于2023年1月正式公开发布。

Inscriptions 之所以能实现，是因为 Taproot 悄然取消了 MAST 叶节点中单个脚本的严格大小限制。这意味着一个 Taproot 见证可以承载千字节、甚至最终可达兆字节的任意内容：图片、文本、音频片段，甚至是小型视频文件。 随后，通过一种能够追踪链上单个聪的编号方案对铭文数据进行编号，从而为每条铭文赋予了稳定的身份标识。实际上，这在比特币上形成了非同质化代币（NFT）。

基于Ordinals构建的协议迅速扩展。短短数月内，一位名为Domo的匿名开发者发布了BRC-20——一种在Inscription协议上运行的可替代代币标准。2024年4月，Rodarmor推出了Runes，这是一个专为比特币区块空间设计的、更高效的可替代代币协议。 在2023年至2024年的不同时期，这些协议将比特币交易手续费推至数年来的新高，并随之推动Taproot交易利用率同步攀升。 根据Glassnode的数据，Taproot的采用率从2023年初的约1%攀升至2024年的峰值40%以上，随后随着Inscription活动的降温而回落。

这并非 Taproot 的设计初衷。 许多比特币开发者看到此次升级最引人注目的应用场景竟是NFT和代币，而非他们耗费数年心血构建的隐私和闪电网络改进功能，对此感到喜忧参半。但正是这种让“铭文”得以存在的灵活性，使Taproot在其他所有领域都大有可为，而这一事件也表明，基础设施升级所催生的应用场景，往往远超其最初的设计初衷。

2026年的收养

Taproot的采用率因具体衡量标准的不同（接收资金的地址、至少包含一个Taproot输入的交易，或占交易输出总量的比例）而有所差异，且不同数据仪表盘报告的数字也各不相同。 截至2026年4月，总体情况是：根据大多数衡量标准，Taproot约占比特币交易活动总量的五分之一。这一比例虽低于“铭文热潮”期间达到的高点，但远高于激活后的第一年水平。

这种缓慢的推广进程与此前SegWit的模式如出一辙。钱包开发者、交易所和托管服务商都按照各自的时间表进行升级，而许多用户从未刻意选择过地址类型，他们只是直接使用钱包生成的地址。 包括币安（Binance）、Coinbase、Kraken和OKX在内的主要交易所目前已支持向Taproot地址转账，但整个生态系统中对Taproot的原生全面支持仍在逐步推进中。

目前仍存在一个值得警惕的问题。Schnorr签名与ECDSA一样，都依赖于椭圆曲线密码学，理论上，如果存在运行肖尔算法的足够强大的量子计算机，该密码学将面临安全风险。由于Taproot与传统地址类型均使用相同的secp256k1曲线，因此Taproot并不会使比特币比传统地址类型更容易受到量子攻击。 然而，Taproot地址会在输出生成时直接在链上暴露公钥，而传统地址和SegWit v0地址仅在输出被花费时才暴露公钥。一份名为BIP-360的提案草案目前正作为迈向后量子签名方案的途径而受到热烈讨论，尽管短期内尚无升级计划。

Taproot 未来将带来哪些新可能

目前，Taproot 的若干用例仍在开发中。有三个领域值得关注：

• 闪电网络的升级。 PTLC 路由和基于 Schnorr 的通道构建正逐步在各 Lightning 实现中推广，这不仅提升了支付隐私性，还支持了更复杂的通道结构。
• Taproot Assets。 Taproot Assets 最初由 Lightning Labs 以“Taro”之名发布，并于 2023 年更名，它是一个利用 Taproot 的承诺结构在比特币上发行可替代和不可替代资产的协议，并支持通过 Lightning 网络转移这些资产。 其设计理念与 Ordinals 和 Runes 截然不同，该协议专为稳定币及其他金融工具而非收藏品进行了优化。
• 保险库与高级托管服务。 Taproot 的 MAST 结构使得构建比特币保险库成为可能——这类钱包在提现时需要设置时间延迟，遭到泄露的密钥可以被撤销，并且可以同时存在多条恢复路径，除非实际使用，否则无需在链上为此支付费用。 这对于需要在安全性与易用性之间取得平衡的机构托管及自主托管方案而言尤为重要。

结论

Taproot 是比特币历史上最重要的升级之一。它提高了签名效率，使复杂的交易看起来像简单的交易，并为开发者提供了更灵活的开发基础。此外，它几乎是偶然地为比特币区块链的非货币用途打开了大门，而这些用途远超出了其最初的设计范围。

对于普通用户而言，其实际意义不言而喻。在许多情况下，使用 Taproot 地址进行支付成本更低；与多签或闪电网络结合使用时，隐私性更强；而且它正逐渐成为新款钱包的默认设置。对于开发者来说，Taproot 是当前大多数严肃的比特币协议开发工作所依托的基础。 而对于协议本身而言，这提醒我们：对底层基础设施进行谨慎、保守的升级，所产生的影响往往远超设计者的预期。