BIP 360 (Pay-to-Merkle-Root)

El BIP 360 es una propuesta en borrador para Pay-to-Merkle-Root (P2MR): un nuevo tipo de salida que funciona casi igual que P2TR, pero sin el gasto por la ruta de clave. La dirección bech32m se compromete solo con la raíz de Merkle del árbol de scripts; no se expone ninguna clave pública al crear la salida.

Ese único cambio es lo que convierte a P2MR en un endurecimiento cuántico parcial. Donde P2TR está siempre expuesta por construcción (la dirección bech32m ES la clave pública ajustada), P2MR no expone nada en la cadena hasta que un gasto por la ruta de script revela una sola hoja. Los ataques cuánticos de exposición prolongada (ataques contra claves públicas que llevan mucho tiempo en la cadena) no tienen con qué trabajar, siempre que las claves dentro de los scripts no se reutilicen ni se revelen de otra forma.

Formato de dirección

P2MR usa SegWit versión 2 con el prefijo bech32m bc1z (frente a bc1q para la versión 0 y bc1p para la versión 1). El script de salida es el byte de versión de SegWit seguido de la raíz de Merkle etiquetada (TapBranch) del árbol de scripts, de 32 bytes. Los gastos son solo por la ruta de script: el testigo (witness) revela una hoja (tapleaf), su pila inicial y el bloque de control (byte de control + ruta de Merkle), y omite la clave interna que llevaría un bloque de control de P2TR.

Ataques de exposición prolongada frente a exposición breve

El BIP 360 distingue con cuidado dos clases de ataque:

• Los ataques de exposición prolongada apuntan a claves públicas que llevan mucho tiempo en la cadena (cualquier lapso mayor que la ventana del mempool que un gasto necesita para confirmarse). P2MR los ataja para las salidas de Tapscript al eliminar la ruta de clave siempre expuesta.
• Los ataques de exposición breve apuntan a claves públicas reveladas en el mempool durante los pocos minutos que pasan entre la transmisión de una transacción y su confirmación. P2MR NO los ataja. Una solución completa para la exposición breve puede requerir esquemas de firma poscuánticos, que los autores dejan para una propuesta aparte.

Es el planteamiento del primer paso conservador. P2MR le ofrece a quien mueva sus monedas a él una vía de escape del riesgo cuántico más concreto (la exposición prolongada, que ya afecta a las claves P2PK de la era de Satoshi, a las claves de direcciones reutilizadas y a las claves P2TR), sin comprometer al protocolo con ningún esquema concreto de firma poscuántica. No hace nada por las claves que se quedan donde están.

Por qué un tipo de salida nuevo en lugar de usar P2WSH

P2WSH ya resiste la exposición prolongada por razones parecidas (el script del testigo se guarda como hash y no se revela hasta el gasto). La razón de ser de P2MR es Tapscript. P2WSH no admite Tapscript y, por lo tanto, no puede aprovechar la vía de actualización de opcodes OP_SUCCESSx, que el BIP considera crítica para añadir variantes poscuánticas de OP_CHECKSIG si las firmas PQ (poscuánticas) llegan a existir. P2MR es la combinación única: resistencia a la exposición prolongada más la maquinaria de Tapscript que un futuro opcode de firma PQ necesitaría.

Relación con el BIP 361

El BIP 361 define el calendario de migración que retiraría los gastos actuales con ECDSA y Schnorr a lo largo de una ventana de varios años. El BIP 361 da por hecho que existe un tipo de salida resistente a ataques cuánticos como destino de la migración; el P2MR del BIP 360 es un candidato. Ninguno de los dos BIPs menciona al otro. El BIP 361 pone como requisito un BIP de firmas poscuánticas, y P2MR no lo es; P2MR es la plataforma de Tapscript a la que podría conectarse ese opcode de firma, y no es el único diseño de salida en discusión. El BIP 360 puede desplegarse por su cuenta como un endurecimiento opcional (opt-in) para quienes quieran protección contra la exposición prolongada.

Estado

Borrador. No está activado, ni programado, ni es consenso. Recibió su número el 18 de diciembre de 2024, cuando todavía se llamaba P2QRH; el diseño sin ruta de clave es de julio de 2025 y el nombre P2MR, de febrero de 2026. Lo escribieron Hunter Beast (Surmount), Ethan Heilman e Isabel Foxen Duke.

Se construye sobre la pila de Taproot: el BIP 360 requiere los BIPs 340 (Schnorr), 341 (Taproot) y 342 (Tapscript).

Consulta el tema a fondo Computación cuántica y Bitcoin para el problema de las claves siempre expuestas que P2MR está diseñado para resolver.

Especificación: BIP 360.

Consulta Cómo funciona Taproot en realidad (en inglés) para la construcción de Taproot que P2MR conserva y la ruta de clave que elimina.