私钥 → 压缩公钥

本页计算了什么

你给它一个 256 位的数字 —— 私钥 k —— 它算出压缩公钥。 在服务器内部，这就是一次运算：

1. 私钥到底是什么

比特币私钥不是文件、不是密码、也不是一坨随机字节。它是一个整数 —— 用椭圆曲线密码学的 术语说，是一个标量 —— 并且必须满足：

两个边界值被排除在外，这在实践中非常关键：

• k = 0 会得到 0 · G，也就是所谓的无穷远点。它没有坐标，无法 序列化成公钥。
• k ≥ n 会绕回来。因为曲线的点群是阶为 n 的循环群：n · G = ∞， 于是 (n+1) · G = G。一个等于 n+1 的私钥看起来是合法的 32 字节数字， 行为上却悄悄等同于 1。

所以可用私钥总数是 n − 1 ≈ 1.158 × 1077 个。有人算过：就算用每秒一万亿个的 速度去撞，也需要大约 10⁵⁸ 年。

2. 曲线：为什么公钥是一个「点」

比特币使用的曲线叫 secp256k1，定义在模素数 p 的整数域上：

任何满足这个方程的 (x, y) 都是曲线上的一个点。由于方程是模 p 的，这条「曲线」并不是 一条光滑的弧线，而是散布在 256 位宽有限网格上的一堆离散点 —— 但它依然构成一个数学上的群， 正是这一点让密码学得以建立其上。

点可以相加（几何上：过两点作直线，找到第三个交点，再沿 x 轴翻转），因此也可以把一个点 反复与自身相加，实现「整数乘法」。这套群运算就是比特币密钥推导的全部引擎。

注意 p 和 n 是两个不同的数，新手常把它们搞混。 p 约束的是坐标的取值范围，n 约束的是私钥的取值范围。

3. P = k·G 到底怎么算

没有闭式捷径。标准做法是倍点-加点（double-and-add），从高位到低位遍历 k 的 256 个比特：

R = 无穷远点
for bit in bits_of(k):        # 256 次循环
    R = double(R)             # R = R + R
    if bit == 1:
        R = add(R, G)         # R = R + G
return R

大约是 256 次倍点和 128 次加点，几百次有限域运算 —— 所以现代笔记本每秒能算几万次，而本项目的 纯 PHP + GMP 实现大约每秒 80 次。

4. 点的序列化：33 字节还是 65 字节

一个点有两个 256 位坐标，所以最直白的编码是 64 字节再加上一个标志位。SEC1 标准定义了几种方式：

5. 奇偶性技巧：为什么 32 字节就够了

压缩并不是「有损的取巧」，它是精确无损的 —— 因为 Y 可以从 X 完全恢复出来。 给定 X，曲线方程给出

它恰好有两个解：Y 和 p − Y。这两个根奇偶性必然相反：一个为偶数， 另一个为奇数（因为 p 是奇数，p − Y ≡ −Y 会翻转最低位）。所以只要 1 个比特 —— 「Y 是奇数还是偶数？」—— 就足以在两者之间做出选择。这个比特正是 02/03 前缀 所保存的信息。

因此解压缩是一次真刀真枪的计算：把 X 的三次方加 7，再做模平方根（由于 p ≡ 3 (mod 4)， 有闭式解 Y = (X³+7)(p+1)/4 mod p），最后若奇偶性与请求不符则取负。

6. 实例演算

下面就是本页对示例私钥 0824c314…171ca 实际算出的值：

请留意最后两行：同一个私钥，两个完全不同的地址。本页的结果面板会实时重算以上全部值， 你可以自己验证这个结论。

7. 压缩 vs 非压缩 —— 到底有什么区别

两种编码描述的是同一个点，签名上也都能用，但它们导向不同的地址，后果非常实际。

8. 压缩公钥接下来会变成什么

• P2PKH（1…）：Base58Check(0x00 ‖ hash160)，见 私钥 → P2PKH 压缩地址。
• P2WPKH（bc1q…）：bech32("bc", 0, hash160)。这里压缩公钥是 强制要求 —— witness 程序固定为 20 字节。
• P2SH-P2WPKH（3…）：Base58Check(0x05 ‖ hash160(0x0014 ‖ hash160))。
• P2TR（bc1p…）：完全另一条路径 —— 内部公钥先经 TapTweak 调整， 最终只使用输出公钥的 x 坐标。

9. 安全须知

• 公钥可以安全公开。在离散对数问题依然困难的前提下，它不会泄漏任何关于 k 的可利用信息。
• 但公钥确实会泄漏一些信息：一旦某个密钥签过交易，该地址就与那个公钥公开绑定在一起。 万一发生 ECDSA 随机数复用，攻击者的搜索空间会因此变小。Taproot 的部分动机正是不再把公钥明晃晃地 暴露在链上。
• 收到公钥时务必做曲线方程校验（Y² ≡ X³ + 7）。接受曲线外的点会打开 无效曲线攻击的大门，足以恢复出私钥。本页会做这项校验，并拒绝曲线外的输入。
• 量子计算机若运行 Shor 算法，可以直接解出离散对数。受威胁的是已经暴露在链上的公钥，而不是 从未花费过的、基于哈希的地址。

10. 常见错误

• 把私钥和 WIF 混为一谈。 WIF 是私钥的 Base58Check 编码，额外带上网络字节与 压缩标志。同一个秘密，两者是不同的字符串。
• 以为「一个私钥 = 一个地址」。 一个私钥至少能导出五类不同地址，外加测试网变体。
• 把公钥当成地址。 公钥本身不会被直接 Base58 成地址；地址是（编码后的）公钥的 20 字节哈希。
• 补零错误。 私钥 0x1f 是 31 个前导零字节再加 1f；丢掉这些零 会得到一个完全不同的私钥。
• 把 p 和 n 搞混。 X、Y 是对 p 取模； k 是对 n 取模。

11. 速查表