不是 ECDSA，也不是 Schnorr。来认识一下 DahLIAS。

2025-06-10 15:27:19 [宏观研究] 来源：蛋黄卷网

币圈网报道：

聚合签名并非新鲜事物，早在 21 世纪初就已存在。但构建一个真正适用于比特币安全模型（利用比特币的椭圆曲线）的聚合签名从未得到证实。开发者们推测这或许可行。他们分享了手绘草图，并表示：“也许它会像……一样工作，但可以跨交易输入。”这个想法萦绕了多年，因为开发者的民间传说，接近，从未得到证实。

这种情况最近发生了改变，Blockstream Research 的 Jonas Nick 和 Tim Ruffing 与 Ledger 的 Yannick Seurin 共同发表了一篇论文，将这个密码鬼故事变成了一个具体的、可证明的结果。这是第一个正式的、安全的完全恒定大小聚合签名（CISA）方案适用于比特币的原生曲线！

但这有很多话，所以让我们分解一下：

完全聚合：不同输入的多个签名被组合成一个——结果是一个 64 字节的签名，无论有多少签名者或输入，其大小都保持不变。交叉输入：每个签名者可以授权不同的输入，并且所有输入都合并为一个签名。

除了比特币已经依赖的假设之外，它没有添加任何重要的新假设。DahLIAS 使用比特币已经依赖的数学原理构建了一个新的加密原语，从而解锁了一种全新的签名。

让我们谈谈曲线和签名

数字签名是比特币证明用户已授权交易的方式。当你使用比特币时，你的钱包会使用私钥对消息进行签名，然后网络会使用匹配的公钥来验证该签名。

比特币使用secp256k1曲线。它快速、高效，并且经过了长时间的实践检验。它支持以下签名方案：椭圆曲线数字签名算法（比特币的原始签名算法）和施诺尔（2021 年通过 Taproot 添加），这是目前比特币共识允许的唯一签名方案。

传统上，完整的签名聚合依赖于比特币曲线 secp256k1 所不支持的数学运算，这使得它看起来遥不可及。这些功能通常依赖于其他类型的椭圆曲线。例如，BLS（Boneh–Lynn–Shacham）签名使用一种称为配对友好曲线的特殊曲线，这种曲线支持高级操作，例如将多个签名（即使是不同消息上的签名）合并为一个。

问题在于，BLS 签名在 secp256k1 上不起作用。虽然 Schnorr 是 ECDSA 的自然升级，因为它们都依赖于同一种椭圆曲线，但添加 BLS 将是一次更大的飞跃，并且会背离比特币现有的安全模型。虽然技术上可行，但它会引入新的加密假设，并显著增加协议的复杂性。支持像 secp256k1 这样的配对友好型曲线BLS12-381，将是比特币的重大变化.

这就是为什么 secp256k1 上从未进行过完整签名聚合的原因之一。

到目前为止。

聚合签名实际上做什么

大多数比特币用户都熟悉多重签名。多重签名钱包中，多个人共同授权使用单个 UTXO 或某个特定的“币”。每个人都签署相同的输入数据。这种设置对于共享托管钱包等场景非常有用。

聚合签名工作方式有所不同。与多人签署同一输入或代币不同，每个签名者在一笔交易中授权不同的 UTXO。这些单独的签名随后被压缩成一个紧凑的证明。使用 DahLIAS，这意味着单个 64 字节签名在比特币的 secp256k1 曲线上，可以同时验证所有输入。

这意味着，如果你有来自五个不同人的五个输入，那么这笔交易就需要五个不同的签名。有了聚合签名，所有这些输入都可以合并成一个。即使每个签名者使用不同的输入并签署交易的不同部分，最终结果仍然是一个签名，证明整笔交易已获得正确授权。

这就像把一整份批准列表压缩成一个文件。签名虽然紧凑，但仍然可以验证每个签名者都授权了各自的 UTXO。

您无需验证 10 个单独的签名，只需验证一个即可。

这有助于重新调整隐私激励机制。通过将签名开销减少到单个 64 字节证明，DahLIAS 降低了 CoinJoins 中合并输入的成本，从经济角度来看，选择隐私比不选择隐私更明智.

半聚合为何如此接近

在比特币引入 Schnorr 签名后不久，开发人员就探索了压缩多个签名的方法，但这些签名的大小并非固定。每个输入都会增加签名的大小，因此交易大小会随着每个参与者的加入而增长。DahLIAS 通过启用全聚合跨输入和签名者。无论涉及多少人或他们签署了什么，所有签名都会压缩成一个恒定大小的 64 字节证明。