从中心化账本到 BTC

🎬 开场

故事 1：2008 金融危机

2008-09-15，雷曼兄弟申请破产，全球银行系统摇摇欲坠。两个月后，一个署名”中本聪”的人发布了一篇 9 页论文：《Bitcoin: A Peer-to-Peer Electronic Cash System》。

2009-01-03，他挖出了 BTC 的第一个区块——创世块。在区块的 Coinbase 字段，他刻下了一句话：

“The Times 03/Jan/2009 Chancellor on brink of second bailout for banks”

这是当天英国《泰晤士报》的头版标题。他用一种几乎挑衅的方式留下时间戳，宣告这个系统的诞生动机。

故事 2：Pizza Day

2010-05-22，程序员 Laszlo 用 10000 BTC 买了两张披萨。按当前 BTC 价格，这两张披萨现在价值数十亿美元。这是 BTC 在现实世界的第一次”购物”。

前章 · 中心化账本

在拆解 BTC 之前，先看清楚我们要拆解的是什么。

银行做的事

银行账本是一个中心化系统。所有用户的余额都存在一个权威机构（银行）那里——只有银行能记账。

这种设计简单有效，但有几个隐含假设：

• 所有人都信任银行
• 银行始终在线
• 银行不作恶、不出错
• 银行的数据库永远不丢

如果其中任何一个失效，整个系统失效。

试一下

下面是一个简化的银行账本模拟。Alice 给 Bob 转账——但每笔都必须经过银行。

注意几件事：

• 没有银行你转不了账（试试 “Bank Offline”）
• 银行决定哪些交易能通过
• 整个系统的命门就在那一个 BANK 方块里

想把它变成”公开透明的去中心化系统”，至少要做到哪 8 件事？

抛开”信任银行”这一条，看上面那个 BANK 方块到底在替我们做什么——其实远不止”记余额”。如果要把它拆掉、改成谁都能验证的开放系统，下面这 8 件事一件都不能少：

接下来 80 分钟，我们把它们一项一项替换掉。每完成一项，右上角清单就 ✓ 一项——整门课走完时，BTC 就在你眼前被”组装”出来了。

密码学预备 · 哈希

进入正式替换之前，需要先掌握一个工具：哈希函数。它会出现在后面几乎所有模块里。

什么是哈希

哈希函数把”任意长度的输入”压缩成”固定长度的输出”。SHA-256 是 BTC 用的那一个。

试一下

哈希函数有 4 个对去中心化系统至关重要的性质：

• 确定性 — 账本谁来算都得同一个结果 → 所有人能独立验证
• 雪崩效应 — 改 1 字节就能被察觉 → 防篡改的基础
• 单向性 — 你不能”反算”出来 → PoW 必须靠暴力搜索
• 抗碰撞 — 找两个不同输入产生同一输出几乎不可能 → 安全保证

记住这 4 个性质——后面每个模块都会用到。

模块 A — 替换”身份验证”

线索追问

银行靠”第三方记得你是谁”。没了第三方，需要一种”只有你自己持有就能证明身份”的东西。

→ 答案：一对相互绑定的数字——一个绝对私密，另一个可以公开。这一对就是”非对称密钥”。

Step 1 · 先认识私钥和公钥

在讲怎么”签名”之前，先看清楚这两个东西到底是什么：

关键直觉：

• 私钥 sk 就是一个随机的大整数——没有什么神秘成分，你在脑子里掷 256 次硬币写下来就是一个合法的 BTC 私钥
• 公钥 pk 是从 sk 用椭圆曲线算出来的，唯一对应这把私钥
• 想公开身份 → 把 pk 给别人 · 想证明身份 → 用 sk 签字
• 这一对绑定且不可反推——所有后续操作（签名 / 地址 / 交易授权）都建立在这条不对称之上

但”不可反推”这个说法听起来抽象。下面这个模拟器把它做成可以亲眼看见的事——按下按钮，让一个超级攻击者以每秒 5000 万次的速度去猜目标公钥对应的私钥：

按 ▶ start guessing 跑几秒钟看看进度条——它永远停在 0。这就是 2²⁵⁶ 在视觉上的意义。

Step 2 · 用它们做签名 / 验证

有了密钥对，再加两个操作就够替换”身份验证”了：

• Sign(sk, message) → signature · 用私钥给一条消息盖戳
• Verify(pk, message, signature) → true / false · 拿到 pk 的任何人都能独立验证

数字签名的本质：用私钥对消息的哈希做一次密码学运算——这就是为什么”哈希”要先讲。

下面是完整的可交互演示——改消息、换密钥对、勾”tamper”看签名失败的瞬间：

真实事件锚

• James Howells 硬盘（2013，威尔士填埋场）：英国程序员丢了存着 8000 BTC 私钥的硬盘进垃圾场，至今仍在向地方政府申请挖整个填埋场。私钥即一切。
• Mt.Gox 倒闭（2014）：交易所私钥保管不善，85 万 BTC 被盗，这家曾占全球 70% 交易量的平台从此消失。

模块 B — 替换”账本记录 + 防双花”

线索追问 1：账本怎么记？

银行账本存余额——这是”状态视角”。但状态需要权威维护。

去中心化方案：把”存状态”变成”存事实”——存交易历史，余额由历史推导。

为什么这样更去中心化？因为事实任何人都能验证。这是从中心化到去中心化的第一个核心思维跃迁。

BTC 上的事实交易长什么样

上面的演示用文字写”Alice → Bob: 20”。真实的 BTC 链上长得更具象一点——每条事实都是一对：转账描述 + 签名。

这就是链上账本的最小单位。谁转给谁多少 + 签名证明这是本人发的——一条事实压缩成一行。

线索追问 2：怎么防止交易被原样复制？

签名挡住”伪造”，但挡不住重放——攻击者把你已经签好的整条 tx 抓下来，再发一次。

→ 解法：交易里多带一个 nonce 字段（每账户独立计数器，Alice 自己 0、1、2…，Bob 自己也从 0 起）。节点记下”Alice 用过的 nonce”，再次见到同一 nonce 直接 reject。

看 Alice 那 3 行 nonce=0/1/2，Bob 自己又从 0 开始——跟着账户走，不是全局序号。

模块 C — 替换”记账权 + 一致性”

线索追问 1：谁能写账本？

直觉答案：投票。多数人同意的就是真账本。

但单纯投票有个致命问题：Sybil 攻击。

→ 投票需要有真实成本才有意义。

线索追问 2：成本怎么定？

用电力 / 算力 —— PoW（Proof of Work）

PoW 的核心是一个数学谜题：找到一个 nonce，让 SHA-256(区块内容 | nonce) 的前 N 个 bit 都是 0。SHA-256 输出 256 个 bit，每个 bit 是 0 的概率约 1/2 —— 所以每多要求 1 个 bit 是 0，难度翻 1 倍。

• 难计算：必须暴力试 nonce（哈希的单向性决定）
• 易验证：算一次 hash 就能验证别人的工作

分叉怎么办？

每个矿工独立挖矿，可能同时挖出两个区块 → 短暂的分叉。

→ 解法：最长链共识——大家都跟随累积算力最大的那条。短链会被丢弃。

真实事件锚

• 2017 BTC vs BCH 分叉——共识破裂的真实样子。
• 2018 Bitcoin Gold 51% 攻击（损失 ~$18M）——验证了”算力够大就能改账本”。

模块 D — 替换”防篡改”

线索追问

PoW 选出了当前账本。过去账本怎么防止被偷偷改？

如果有人想往历史里插一笔”自己凭空多 100 BTC”，怎么办？

三层防御

1. 打包成区块：一批交易绑在一起
2. 链式哈希：每个区块包含上一个的哈希——改一处后面全断（哈希的雪崩效应在这里发挥关键作用）
3. PoW 累积：改一个旧区块要重做后面所有 PoW（算力上不可能）

下面用 4 步把”为什么改一处会破坏整条链”拆开演示：① 单块结构 → ② 双块如何连接 → ③ 篡改后哪里失配 → ④ 多块级联失效。

关于区块头 · 80 字节就够验证

区块头是 80 字节固定大小——里面的 merkle_root 把整块所有交易压缩成一个 hash。轻节点（手机、嵌入式设备）只下载区块头链，验证某笔交易”是不是真在某块里”只要全节点提供一条 Merkle 证明：

出块与验证 · 信任怎么从一块传到下一块

矿工挖出新块 → 广播 → 凭什么别人愿意接？答案：每个节点都独立验证。验证分两层：

任一层任一项失败 → 整块拒绝。

1️⃣ 块级验证

merkle_root 在块级只验形式；每笔交易的内容由下一层负责。

2️⃣ 交易级验证

核心问题：Alice 凭什么能转 5 BTC？

→ BTC 里没有”账户余额”，只有”你拿得出未花过的 UTXO”。每笔 tx 必须明确指出消耗哪些 UTXO、生成哪些新 UTXO。

PoW 的不对称性 · 验证可行的关键

→ 验证白菜价 → 每个节点都做一遍 → 错块”骗”不过任何人。

矿工 M ──广播──> 节点 A B C D E ... ──各自块级 + 交易级检查──> 接受/拒绝

诚实节点的结果必然一致（检查是确定性的）。信任在网络中传播，没有中心节点决定它。

节点凭什么能”查”UTXO？

那个”UTXO 集合”是节点本地数据结构。处理块时对每笔交易：input UTXOs 从集合里删 + output UTXOs 加进去。下面手动一步步走一遍：

{
  #a91 → Alice  7 BTC  #c2d → Alice  3 BTC  #e44 → Bob    2 BTC  #f88 → Carol  4 BTC}

这就是”账本”在节点内部的样子——不是余额表，而是不断演化的 UTXO 集合。

模块 E — 替换”激励”

线索追问

PoW 要烧电，矿工凭什么愿意烧？凭什么愿意诚实？

经济学闭环

矿工的收益（BTC）只有在系统被信任时才值钱。攻击系统 = 砸自己饭碗。

减半机制

BTC 设计了硬上限 2100 万。每 21 万个区块（约 4 年）奖励减半：

减半既保证稀缺性，也让矿工激励逐渐从”区块奖励”过渡到”手续费”。

模块 F — 替换”钱的表示”

线索追问

银行账本里”钱” = 余额数字 Alice: 100。但数字本身需要权威维护。

去中心化系统里钱该怎么表示？→ 把”钱”也变成事实——交易输出。即 UTXO 模型（Unspent Transaction Output）。

UTXO 是什么

一张”数字现金”，三个字段：

呼应模块 B：UTXO 和”用交易历史代替余额”是同一个哲学的两种表达——存事实，不存状态。

真实事件锚

中本聪的早期地址至今持有 ~110 万 BTC——这些 UTXO 从未被花过。它们就在那里，谁都拿不走。

看看真链上 · explorer 实地考察

深水区 · Bitcoin Script · 锁与钥匙

到现在为止，我们说 UTXO “属于 Alice”——但协议层面这是怎么实现的？

答案：UTXO 不是简单贴一个”Alice 的”标签，而是绑了一段小程序——一个用 BTC Script 写的”锁”（叫 scriptPubKey）。谁能拿出能解开这把锁的”钥匙”（叫 scriptSig），谁就是这个 UTXO 的”主人”。

锁怎么工作？

最常见的锁模板叫 P2PKH（pay-to-pubkey-hash），长这样：

OP_DUP  OP_HASH160  <PKH_Alice>  OP_EQUALVERIFY  OP_CHECKSIG

要花这个 UTXO，得提供：

<sig>  <pubKey>

节点把 scriptSig + scriptPubKey 拼起来，逐 token 在栈虚拟机里执行。如果最后栈顶是 TRUE → 锁开了 → 可以花。

下面的动画一步一步走完执行过程——你可以切换 spender 看 Alice（合法）和 Bob（伪造）两种情况：

OP_DUP
OP_HASH160
<PKH_Alice>
OP_EQUALVERIFY
OP_CHECKSIG

<sig_Alice>
<pubKey_Alice>

试试切到 Bob (attacker)：他用自己的 pubKey 凑出 scriptSig，但执行到 OP_EQUALVERIFY 时，H(pubKey_Bob) 跟锁里的 PKH_Alice 不一致 → 脚本中止 → UTXO 仍然锁着。

不止 P2PKH

同一套”锁脚本”机制可以表达多种所有权规则：

Bitcoin Script 不是图灵完备的（没循环），但它已经能表达可编程的所有权——这正是 ETH 智能合约的雏形。下节课我们看 ETH 怎么把这个想法彻底打开。

深水区 · 2²⁵⁶ 究竟有多大？

整节课所有”密码学安全”的承诺，根上靠的就是这个数字——签名空间、哈希空间、私钥空间都在它的量级。看看它有多荒谬。

🎬 收尾

回看清单

8 项全部 ✅。原来 BTC 就是这张表的产物：

BTC 的本质 = 用密码学 + 经济学替换信任机构。

诚实承认代价

替换不是没代价的。BTC 失去了：

• 可逆性 — 转账打错地址，钱永远找不回（银行能调单）
• 速度 — ~10 min 出块，几个确认才安全（信用卡 1 秒清算）
• 客户服务 — 没有客服热线
• 合规接口 — 没有 AML / KYC 内建支持

BTC 用这些代价换来了：抗审查、无许可、全球可用。值不值得，看你解决什么问题。

前瞻：BTC 之后呢？

• Bitcoin Script — BTC 其实是可编程的，只是脚本能力很有限（条件锁、多签、时间锁）
• Ordinals / BRC-20（2023）— 让 BTC 也能存 NFT 和发币
• 下节课 — ETH 把可编程性彻底打开，智能合约登场

课后作业

1. 装一个 BTC 钱包（推荐 BlueWallet 或 Sparrow）
2. 在 Signet 测试网领一点 sBTC
3. 给同学转一笔，用 explorer 查这笔交易
4. 在 explorer 找到一个区块，识别五元组的每个字段

进一步阅读

• Learn me a bitcoin — 最好的 BTC 可视化教材
• Mastering Bitcoin — Andreas Antonopoulos
• Bitcoin 白皮书 — 9 页，研究生应该读原文