Taproot

Alice と Bob が共同資金を管理しているとします。二人の意見が一致している間は、一緒に支払いを承認したいと考えています。一方で、指定したブロック高に達したら Alice が単独で使える、という別の条件も事前に決められます。Taproot なら、通常の共同支払いで予備の計画をすべて公開せずに、この取り決めを表現できます。どのウォレットにも自動で備わる機能ではありません。ソフトウェアが条件に対応し、受け取る前に参加者が正しく準備する必要があります。その取り決めどおり、Alice は実際に単独で使う権利を得ます。 [1] [3]

簡単な方法は key path と呼ばれます。ネットワークは、出力の支出条件にある鍵に対する有効な Schnorr 署名を一つ検証します。出力とは、以前の取引で作られ、いま使おうとしている具体的な金額です。署名だけでは協力者の人数や予備のスクリプトの有無は分かりません。もう一つの script path は、使ったスクリプト、つまり具体的なルールと、それを満たすデータを示します。さらに、そのルールが元の取り決めに含まれていたことを示す control block という証明を添えます。他のスクリプトは隠せますが、使ったスクリプトと証明からは情報が明らかになります。 [1]

Schnorr Signature はデジタル署名の一種で、該当する鍵が支払いを承認したことを数学的に証明します。MuSig2 などの適切なプロトコルを使うと、複数の鍵の持ち主が共同の鍵を作り、共同の署名を生成できます。Alice と Bob は互いに秘密鍵を渡す必要がありません。ただし両者のウォレットがその手順を扱え、署名時に協力する必要があります。Taproot 自体が全入力の署名をまとめたり、どの Multisig ウォレットでも一つの署名に変えたりするわけではありません。実装は重要です。署名プロトコルで nonce と呼ばれる秘密の値を誤って再利用すると、秘密鍵が漏れる可能性があります。 [2] [5]

Bitcoin のメインネットでは Taproot アドレスは通常 bc1p で始まり、Bech32m で表記されます。送信前にサービスやウォレットの対応と、アドレス全体を確認してください。Taproot は公開するルールや支出に必要なデータを減らせますが、金額を隠したり、使われる出力どうしの公開されたつながりを消したりはしません。選ぶ経路や証明の大きさは手数料にも影響するので、新形式が必ず最安とは限りません。ウォレットが通常の単独の鍵による支払いに Taproot を使うなら、自分で予備のスクリプトを考える必要はありません。 [1] [4]

P2TR は Pay to Taproot の略です。ルール上はネイティブ SegWit のバージョン 1 で、出力の公開鍵を表す 32 バイトの witness プログラムを使います。任意のスクリプトは木構造を作り、その暗号学的な指紋が鍵に組み込まれます。一つの枝を使う際には、木全体を公開せずに、そのスクリプトが木に含まれていることを証明できます。BIP 340 は Schnorr 署名、BIP 341 は Taproot のルール、BIP 342 はスクリプト経路用の言語 Tapscript を定めます。通常の Schnorr 署名は 64 バイトです。取引のどの部分を署名するかについて別のモードを明示すると、さらに 1 バイト付きます。これらを処理するのはウォレットであり、アドレスを手作業で書き換えて設定するものではありません。 [1] [2] [3]