hash160 → P2PKH / P2SH / P2WPKH 地址

本页计算了什么

你输入一个值 —— 20 字节的 hash160 —— 页面会列出所有能由它构建出来的地址，并显示每个地址 背后真正被承诺的那串字节。这个哈希本身就是一行运算：

本页从第三个方框开始：哈希已经算完，下面全部都是纯包装。而这恰恰是最值得弄懂的部分 —— 同一串 20 字节，前面粘上不同的字节，就会变成 1…、3…、bc1q… 或 tb1q… 地址。

1. 什么是密码学哈希函数

哈希函数把任意长度的输入变成固定长度的指纹。密码学界对它有三项彼此独立的要求，而在比特币地址里， 这三项各自承担着不同的职责。

第一项最容易被人误读。地址本身就是那个哈希，所以根本不存在「从地址反推出公钥就完了」 这种说法 —— 详见第 4 节。原像抗性真正给你的是：映射到某个地址的公钥集合实际上无法被触及。要花掉一笔 P2PKH 输出，你必须公开一个 hash160 恰好等于该地址的公钥，并且用它对应的私钥签名；而攻击者 可以同时自选这两样东西。假如原像只需要 2⁴⁰ 步而不是 2¹⁶⁰ 步，攻击者 就会直接新造一对密钥、让公钥的哈希等于你的地址，然后把它清空。正是原像抗性，让一个公开出来的地址可以 永远安全地躺在那里不被花掉。

2. 为什么是 RIPEMD160(SHA256(x))，而不是单一哈希

前后两段都是刻意设计的，它们回答的是两个不同的问题。

把它想成一条流水线。SHA-256 是现代、被充分研究的 256 位函数；先跑它，会让进入第二级的值变成均匀随机的 32 字节串，于是 RIPEMD-160 永远不会看到攻击者精心构造的输入。接着 RIPEMD-160 把承诺值压缩到 20 字节，而这个节省是实打实的：

12 字节乘以链上每一个未花费输出、而且是永久的，这个理由已经足够强。第二个理由是纵深防御：某一个函数 被攻破并不会立刻让整个构造失效。要在 RIPEMD160(SHA256(x)) 上伪造碰撞，攻击者必须造出两个 SHA-256 摘要相同的输入 —— 也就是说他得连 SHA-256 一起攻破，或者在一个只能控制 32 字节输入的 接口上攻击 RIPEMD-160。

3. 生日界，以及为什么 160 位够用

原像攻击的代价与输出空间成正比，也就是 2¹⁶⁰。碰撞之所以便宜，是因为生日悖论：一个房间里有 23 个人就很可能有人同一天生日；对哈希而言，期望搜索量约为

2⁸⁰ 是 hash160 诚实的薄弱点，而它被认为可以接受，原因有三：碰撞只有在攻击者还能说服别人 使用那两把碰撞密钥之一时才有收益；攻击者还必须同时匹配 SHA-256，因为第二级只接受 32 字节输入；而且 RIPEMD-160 的 160 位宽度是经过国际标准评审的选择（由欧盟 RIPE 项目选出），不是某人的第一次尝试。 如果你在为别人生成地址，而对方从不核实你是否知道私钥，那么保护他的就是抗碰撞性 —— 恰恰是余量最小的那 一项。

4. 地址不是秘密 —— 真正保护币的是什么

看看一个真实地址的里面：146ZNjH7…2UqT 无非就是 Base58Check(0x00 ‖ hash160)。 哈希就在地址里，它出现在每一张发票、每一个二维码、每一个区块浏览器上。没有人打算藏它， 「你无法从哈希反推出我的地址」根本不是安全论证 —— 地址本来就是主动公开的。

保护币的是三件事的组合：

• 私钥。 花费需要对该笔交易的有效 ECDSA 签名。地址里没有任何东西能让你造出签名。
• hash160 的原像抗性。 想找出另一个哈希等于你地址的公钥，代价约 2¹⁶⁰， 必须不可行 —— 因为那样一把公钥可以用攻击者自己生成的签名花掉。
• 在你花费之前，公钥不在链上。 P2PKH 输出未花费时，链上只存那 20 字节哈希。完整的 点要等到花费它的那笔交易的 scriptSig 里才出现。

最后一行正是「抗量子」讨论里为什么哈希依然重要的原因。Shor 算法能解椭圆曲线离散对数，因此可以从链上 可见的公钥恢复私钥。而一笔未花费的 P2PKH 输出上没有任何点可见 —— 只有哈希 —— 于是量子攻击者只能去攻 哈希，而 Grover 算法只带来平方级加速（2¹⁶⁰ 降到大约 2⁸⁰ 次量子操作）。Taproot 选的 是相反的取舍：它的输出公钥本身就是链上的一个曲线点，这让验证更省、协作更私密，同时也让它成为量子对手 最先能拿走的东西。

5. 本页打印内容的字节级布局

请注意 P2SH-P2WPKH 那一行的双重哈希。嵌套 SegWit 地址并不直接承诺你的公钥哈希；它承诺的是 22 字节 redeemScript 0x0014 ‖ hash160 的 hash160。这就是为什么它的载荷那 20 字节和其余 各行都不一样。

6. 用示例 hash160 做的完整演算

下面这些就是本页对 21f57b6d…89012 实际打印的值，全部现场算出，没有从任何地方抄来：

六个不同的地址，一个哈希，除了那两次哈希调用之外没有任何密码学。只要在上游改动任意一个输入字节， 上面每一行都会跟着变。

7. Taproot 地址无法仅凭 hash160 生成

这是本页唯一一件做不到的事，而且原因是结构性的，不是本工具的限制。P2TR 输出承诺的是一个 32 字节的 x-only 输出公钥，算法是

要算出它就需要完整的曲线点：tweak 是 taggedHash("TapTweak", x(P))，点加需要真实存在的、有 确定 y 的点，而且结果必须是持有者真的能用私钥操作的点。hash160 是 20 字节摘要；它不是点，没有 y，更关键的 是 —— 即使曲线方程对它恰好有解，也没有人知道把它当作 x 坐标得到那个点的离散对数。

8. 这个值从哪来、接下来去哪

• 上游： 压缩公钥 → hash160 → 地址 演示哈希这一步本身； 十六进制私钥 → 全部格式 则从最开头开始。
• 下游之 Base58Check： Base58Check 编码 / 解码 会接收上面 打印的载荷，拆出其中的版本字节、校验和与内部结构。
• 下游之 bech32： Bech32 / Bech32m 解码 对 bc1q… 形式做同样的事情，包括 witness 程序与校验和。
• 同一私钥的其它地址： P2PKH、 P2SH-P2WPKH、P2WPKH。

9. 安全须知与常见错误

• 地址不是秘密。 hash160 天生就是公开的；请把每一个公开过的地址都视为永远人尽皆知。
• 哈希了错误的序列化形式。 压缩公钥（02…/03…）与非压缩公钥 （04…）哈希结果不同，所以同一个私钥会有两个 P2PKH 地址。演示值分别是 21f57b6d…9012（压缩 → 146ZNjH7…）和 3f0e966d…23f9 （非压缩 → 16kR3eis…）。
• 以为校验和能证明含义。 Base58Check 校验和只能证明字符串没被打错；它完全不说明版本 字节是否与你所在的网络匹配。
• 以为 20 字节「太弱」。 160 位原像抗性远超任何经典攻击；最弱的一环是 80 位碰撞界， 而要利用它，代价远不止暴力枚举。
• 发到了错误的地址类型。 上面四种 Base58 / bech32 形式对应四个不同的 scriptPubKey。发到其中一个的币，只认识另一个的钱包是花不掉的。

10. 速查表