Taproot se activó en el bloque 709.632 el 14 de noviembre de 2021. Son tres BIP trabajando juntos.
BIP340: firmas Schnorr
Un nuevo esquema de firma Schnorr sobre la misma curva secp256k1. Las firmas son de 64 bytes y las claves públicas son claves x-only de 32 bytes. Como Schnorr es lineal, varios firmantes pueden combinar sus claves en una con protocolos como MuSig2 (BIP327) y producir una sola firma.
BIP341: salidas Taproot
Una salida Taproot (SegWit v1, bc1p…) se compromete a una clave Q de 32 bytes. Q se construye a partir de una clave interna P y un árbol opcional de scripts:
Q = P + t·G, donde t = hashTapTweak(P || merkle_root)
Hay dos formas de gastar:
- Ruta de clave: firmar con la clave tweaked. On-chain es solo una firma. Nadie puede saber si existía un árbol de scripts.
- Ruta de script: revelar un script (una hoja), sus entradas y un control block que guarda P y la rama Merkle que prueba que esa hoja está en el árbol. Las otras hojas permanecen ocultas.
Este árbol de alternativas suele llamarse MAST. Un diseño típico: la ruta de clave es «todos están de acuerdo», y las hojas son respaldos como «2-de-3 tras 6 meses».
BIP342: Tapscript
El lenguaje de script dentro de las hojas se actualizó. OP_CHECKMULTISIG se sustituyó por OP_CHECKSIGADD, que es verificable por lotes. Se eliminaron el límite de script de 10.000 bytes y el de 201 opcodes y se sustituyeron por un presupuesto de firmas ligado al tamaño del witness. Los opcodes no usados se convirtieron en OP_SUCCESSx, lo que simplifica futuros soft forks.
Mejor hashing de firmas
El sighash de BIP341 se compromete con los importes y scripts de todas las entradas que se gastan, así que las billeteras de hardware pueden verificar comisiones sin ver transacciones anteriores.
Activación
Taproot usó «Speedy Trial», una ventana corta de señalización estilo BIP9 con umbral del 90%. El umbral del 90% se alcanzó en el bloque 687.284 el 12 de junio de 2021, se bloqueó desde el siguiente periodo (bloque 687.456) y se aplicó desde el bloque 709.632.
Beneficios
Multifirma y contratos más baratos y privados, porque el caso habitual parece un pago ordinario de una sola clave.