现实中签支票签合同，你签下的名字代表"我同意这笔交易，我是本人"。但比特币这个没有银行、没有中间人的系统里，问题来了——谁能证明一笔转账真的是你发起的？答案不靠任何第三方，靠的是密码学里的数字签名技术。                各大交易所:欧易官网  币安官网  芝麻Gate

私钥和公钥：一把钥匙和一把锁的关系

打开比特币钱包时，系统会生成一个极度庞大的随机整数——这就是私钥，必须绝对保密，谁拿到它谁就能控制对应的资产。接着用一套数学公式从私钥推导出公钥：公钥 = 私钥 × 基点G。比特币用的椭圆曲线叫secp256k1，曲线方程是y² = x³ + 7。这是个单向推导过程：从私钥算出公钥很容易，但从公钥反推私钥在数学上几乎不可能。

可以这样理解：私钥是你的私人印章，公钥是银行备案的印模。全世界都能看到印模，但只有你手里有那个印章。

签名流程：按下发送那一刻发生了什么

当你在钱包里输入1个BTC的收款地址，点击"发送"后，钱包后台做了三件事。

第一步：计算交易摘要。 钱包不会对整个交易信息做签名——内容太长了。实际做法是先用SHA-256把交易内容压缩成一个固定长度的"摘要"，可以理解为这段文字的指纹，然后再对这个摘要签名。

第二步：生成签名。 这是最关键的一步。签名算法接收三个输入：交易摘要、你的私钥、以及一个临时随机数（密码学里叫k值，nonce）。这几个输入通过椭圆曲线运算后，输出一个由(r, s)两个数值组成的签名。这个签名就是整个交易中最关键的证据，相当于你亲手盖在转账单上的数字化私章。

第三步：广播到全网。 钱包把三样东西打包广播出去：原始交易信息、你的公钥、以及刚才生成的签名。广播完钱包的任务就结束了，剩下的交给全网节点去验证。

全网验证：交易能不能过，节点说了算

节点收到数据包后会做一次数学验证：用公钥和签名反向推算出摘要，再和节点自己算的摘要做比对——如果一模一样，说明这个签名确实由对应私钥产生，且交易在传输中没有被篡改。

验证通过，节点就把交易放进待确认池，等矿工打包进区块；验证不通过，直接丢弃。整个过程不需要知道你的私钥是什么，也不需要任何第三方介入，完全靠数学担保。

签名里藏着一个大坑：随机数k值

ECDSA算法的安全性里藏着一个容易被忽略的隐患：它极度依赖那个临时随机数的唯一性。如果签名软件出了bug，或者随机数生成器不够随机，导致两次不同交易用了同样的k值，攻击者就可以从这两个签名中直接解出你的私钥——不需要碰你的手机、不需要猜你的密码，只看公开的交易数据就能完成。

历史上确实发生过。最典型的是2013年Android比特币钱包漏洞——安卓系统的随机数生成器存在缺陷，导致钱包重复使用了相同的k值，大量用户私钥被破解，资金被盗。Bitfinex的CTO Paolo Ardoino曾公开表示，至少有三款主流钱包在安全审计中被发现存在随机数生成器质量问题。

这也是为什么现代比特币钱包普遍采用RFC6979标准，将随机数改为由私钥和交易摘要联合确定的方式。k值不再纯靠运气随机，而是由确定性算法推算出来，既保证唯一性又不把安全压在一个随机数生成器上。

ECDSA和Schnorr签名：前后两代技术对比

比特币早些年用的是ECDSA算法。2021年11月Taproot升级之后，引入了Schnorr签名作为替代方案。不是ECDSA不能用，而是它有明显的局限性——最大短板在多重签名场景：一笔交易如果多人共同签署，ECDSA会把所有人的签名和公钥全部堆到链上，交易体积大幅膨胀，手续费水涨船高。Schnorr签名解决了这个痛点，它支持签名聚合，多个人可以把各自的签名合并成一个，最终交易看起来就像一个人签的，体积几乎没增加。

对普通用户意味着什么

技术听起来很绕，但对普通用户来说记住几个核心点就够了。

私钥必须物理隔离存放，截屏存云端相当于把银行密码贴在公告栏上。尽量选硬件钱包或经过长期验证的知名钱包，因为钱包的签名质量直接影响资产安全——不是所有钱包的代码都能保证随机数生成器足够安全、也没有隐蔽后门。Taproot地址（以bc1p开头）能享受到Schnorr签名带来的更低费用和更好隐私性。

另外定期留意钱包版本更新通知。重大安全漏洞往往会触发强制更新，拖延升级可能把钱包暴露在已知风险中。RSA和ECC虽然是当今主流，但未来量子计算的发展可能倒逼比特币再次更换整条签名链路。

免责声明：本文仅为密码学与区块链技术科普，不构成投资建议。技术细节可能随网络升级而变化，投资有风险，请自行评估并承担相应责任。