在数字货币与区块链体系中，数字签名是实现身份确权、交易防篡改、不可抵赖的核心基石。椭圆曲线数字签名算法（ECDSA）凭借短密钥、高安全、快运算的特性，成为比特币、以太坊等主流公链的标配签名方案。本文从数学基础、算法流程、工程实现、安全特性与演进方向，系统讲解数字货币场景下椭圆曲线签名的完整原理与应用逻辑。

椭圆曲线密码学（Elliptic Curve Cryptography，ECC）是基于椭圆曲线离散对数问题（ECDLP） 的公钥密码体系。与传统 RSA、DSA 相比，ECC 在同等安全强度下密钥长度更短：256 位 ECC 安全等级等效于 3072 位 RSA，这让它在存储受限、算力有限的区块链节点与钱包设备中极具优势。

数学定义

有限域上的椭圆曲线通用表达式为：

y² ≡ x³ + ax + b (mod p)

其中 p 为大素数，a、b 为曲线系数，满足判别式 4a³+27b²≠0 以保证曲线无奇点。密码学应用中，所有运算均在素域 Fp 上进行，运算结果取模 p，确保结果落在有限集合内。

核心运算：点加与标量乘

椭圆曲线密码的核心是点加法与标量乘法。点加法定义了曲线上两点的运算规则，标量乘则是点加的迭代：kG 表示将基点 G 累加 k 次，得到曲线上另一个点。ECDLP 的难解性在于：已知 G 与 kG，反向求解 k 在计算上不可行，这构成 ECC 的安全根基。

数字货币标准曲线：secp256k1

比特币与以太坊统一采用secp256k1曲线，参数公开透明、无预设后门，是区块链领域的事实标准：

• 素数 p：接近 2²⁵⁶的大素数
• 曲线参数：a=0，b=7，表达式 y²=x³+7
• 基点 G：固定公开的曲线起始点
• 阶 n：基点 G 的循环子群阶数，为大素数
• 余因子 h：保证子群规模最优

该曲线计算效率高、抗攻击能力强，支撑着全球数千亿美元数字资产的安全。

ECDSA：椭圆曲线数字签名算法

ECDSA 是 ECC 在数字签名领域的标准化实现，被 ISO、ANSI、FIPS 等权威机构认可，也是数字货币交易签名的核心算法。它完成三大安全目标：身份认证（确保持有私钥）、完整性（数据未篡改）、不可抵赖（签名无法伪造）。

算法分为三阶段：密钥生成、签名生成、签名验证，全程配合密码哈希函数（如 SHA-256）使用，先将任意长度消息压缩为固定长度摘要，再进行签名运算。

密钥生成：公私钥对创建

密钥对是签名与验签的基础，私钥保密、公钥公开：

1. 选定 secp256k1 曲线参数；
2. 在 [1, n-1] 区间随机选取整数d作为私钥（256 位随机数）；
3. 计算公钥Q = d×G（标量乘，Q 为曲线上的点）；
4. 输出：私钥 d（保密），公钥 Q（公开）。

在钱包中，私钥是资产控制权的唯一凭证，公钥经哈希编码生成钱包地址。

签名生成：私钥签署交易

签名由交易发起者执行，生成 (r, s) 二元组作为签名结果：

1. 消息哈希：对待签交易 m 做哈希，e=HASH (m) mod n；
2. 随机临时密钥：选取 [1, n-1] 内安全随机数 k（一次性使用，不可泄露）；
3. 计算临时点：R=k×G，取 R 的 x 坐标 r=x_R mod n；若 r=0 则重选 k；
4. 计算 s 值：s=k⁻¹×(e + d×r) mod n；若 s=0 则重选 k；
5. 输出签名：(r, s)。

关键约束：临时密钥 k 必须真随机且单次使用。k 复用会导致私钥泄露，这是历史上多起数字货币被盗的根源。

签名验证：全网节点校验

节点收到交易与签名后，用公钥 Q 验证有效性：

1. 检查 r、s 是否在 [1, n-1] 范围内，不满足则直接拒绝；
2. 消息哈希：e=HASH (m) mod n；
3. 计算逆元：w=s⁻¹ mod n；
4. 计算组合点：u₁=e×w mod n，u₂=r×w mod n；
5. 点加运算：X=u₁×G + u₂×Q；
6. 有效性判断：若 X 为无穷远点则失败；若 X 的 x 坐标≡r mod n 则验证通过，否则失败。

验证通过意味着：交易由私钥持有者发起、数据未被篡改、签名真实有效。

ECDSA 在数字货币中的工程落地

区块链交易签名不是简单的消息签名，而是结合链上规则的工程化实现，兼顾安全、效率与互操作性。

交易签名流程

1. 构造交易：包含发送方地址、接收方地址、金额、手续费、UTXO / 账户状态等；
2. 序列化与哈希：将交易数据序列化后做双重 SHA-256 哈希，得到固定长度摘要；
3. 私钥签名：用 ECDSA 生成 (r, s) 签名；
4. 交易广播：将交易、签名、公钥 / 地址一同广播至网络；
5. 节点验签：全节点执行验签逻辑，通过后纳入区块。

公钥与地址编码

公钥 Q 是曲线上的点，可压缩为 33 字节（压缩公钥）或 65 字节（非压缩公钥）。经哈希、Base58Check 编码生成钱包地址，既缩短长度又提供校验位，提升易用性。

签名优化与规范

• 低 s 值规范：比特币、以太坊要求签名取低 s 值，防止重放攻击；
• 公钥恢复：支持从签名与消息直接恢复公钥，节省链上存储空间；
• 抗侧信道：硬件钱包通过物理隔离与随机数加固，防范时序攻击、功耗攻击。

ECDSA 的安全边界与风险

ECDSA 安全建立在 ECDLP 难解性之上，但工程实现缺陷会引发致命风险。

核心安全保障

• 抗伪造：无私钥无法生成有效签名；
• 抗篡改：交易数据任何改动都会导致哈希变化，验签失败；
• 抗抵赖：签名与私钥唯一绑定，无法否认。

主要风险点

• 临时密钥 k 泄露 / 复用：直接暴露私钥；
• 弱随机数：私钥或 k 可被暴力破解；
• 实现漏洞：库缺陷、整数溢出、模运算错误；
• 量子威胁：肖尔算法可快速求解离散对数，威胁传统 ECC。

演进：从 ECDSA 到 Schnorr 签名

为弥补 ECDSA 不足，区块链正推进Schnorr 签名替代：

• 线性同态：支持多签聚合，减小区块体积、提升吞吐量；
• 无延展性：从根源消除交易延展性攻击；
• 安全性可证明：理论安全性更严谨；
• 隐私性更强：多签交易与单签交易不可区分。

比特币已启用 Taproot 与 Schnorr 签名，以太坊也在向更高效签名方案演进。

椭圆曲线签名算法是数字货币的安全底座。ECC 以短密钥实现高安全，ECDSA 以标准化流程完成交易确权与校验，secp256k1 则为区块链提供稳定可靠的曲线支撑。从密钥生成到签名验签，每一步数学运算都守护着资产所有权与交易可信性。

随着区块链发展，ECDSA 正被更高效的 Schnorr 签名迭代，但椭圆曲线密码的核心地位不会动摇。理解椭圆曲线签名，是读懂数字货币安全机制、掌握区块链底层逻辑的关键。对开发者与用户而言，保障私钥安全、使用可靠密码库、遵循工程规范，是抵御风险、守护资产的根本。