Taproot

Taproot es el soft fork (una bifurcación compatible hacia atrás) que se activó en Bitcoin en noviembre de 2021, a la altura de bloque 709,632, y que trajo al protocolo dos mejoras criptográficas: las firmas Schnorr (en inglés) (BIP 340) y el propio Taproot (BIP 341, escrito por Pieter Wuille, Jonas Nick y Anthony Towns), junto con el nuevo lenguaje Tapscript (BIP 342) para condiciones de gasto avanzadas.

La característica principal es que toda salida Taproot se ve igual en la cadena. Da lo mismo si respalda una billetera de una sola firma, una multisig o un script complejo con bloqueos de tiempo y preimágenes de hash: la salida en la cadena es solo una clave pública de 32 bytes, y si las partes cooperan, el gasto es una sola firma Schnorr de 64 bytes. Quien observa no puede saber cuál de los tres se usó, a menos que se revele una ruta de script. Para la privacidad, esto es enorme.

Las direcciones Taproot empiezan con bc1p (usan la codificación bech32m (en inglés)).

Cómo funciona

Una salida Taproot se compromete con una sola clave pública (la "clave interna"), con un árbol de scripts de gasto alternativos (las rutas de script), o con ambas cosas.

Dos rutas de gasto (en inglés, key path y script path):

1. Gasto por la ruta de clave (en inglés). Si todos los participantes de una multisig o de un contrato complejo están de acuerdo, pueden firmar en conjunto con una clave pública agregada (mediante MuSig2 (en inglés)). En la cadena, el gasto se ve como una sola firma; quien observa no puede saber si existían rutas de script ni cuáles habrían sido. Es el caso común, y el tipo de gasto más privado y más barato que tiene Bitcoin.
2. Gasto por la ruta de script (en inglés) (MAST (en inglés)). Si no están de acuerdo (alguien está desconectado, vence un bloqueo de tiempo o hace falta una rama de respaldo), una de las partes puede revelar solo la rama del script que de verdad se ejecuta, junto con una prueba de Merkle de que la salida original se comprometió con ella. Las demás ramas siguen ocultas.

La combinación hace que los contratos complejos paguen un costo casi nulo en la cadena cuando "salen bien" (todos firman en cooperación), y que revelen solo la rama estrictamente necesaria cuando "salen mal".

Qué hace posible

• Agregación con MuSig2 / FROST. Varios cofirmantes producen una sola firma Schnorr sobre una sola clave interna. Una federación 5 de 7 gasta una salida Taproot de forma indistinguible de una billetera de una sola firma.
• Privacidad en los canales Lightning. Los cierres cooperativos de canal se ven como cualquier otro gasto Taproot por la ruta de clave, y ya no como un visible "cierre de multisig 2 de 2".
• Multisig barata. Pagas por la firma que de verdad usas, no por todas las claves con las que te comprometiste.
• Menos datos en la cadena. Las firmas Schnorr ocupan 64 bytes fijos; las firmas ECDSA codificadas en DER llegan a 72 y se quedan en 71 incluso cuando se buscan a propósito firmas low-R (en inglés).
• Criptografía más limpia. Schnorr tiene pruebas de seguridad más sólidas que ECDSA.
• Una base para protocolos futuros. Los Silent Payments (en inglés), los Discreet Log Contracts (DLCs) y las construcciones más nuevas de Lightning se benefician de las primitivas de Taproot.

Adopción

La adopción de Taproot tardó unos años en extenderse por el software de billeteras, las billeteras de hardware y la infraestructura. En 2026 casi todo el software ya lo admite para enviar y recibir, pero la mayoría de las billeteras importantes todavía entregan por defecto direcciones SegWit nativas bc1q; Bitcoin Core lo hace, y ofrece Taproot como opción. Alrededor del 5% de las salidas recién creadas son bc1p..., por debajo del pico de las inscripciones (en inglés) de 2024, aunque por cantidad Taproot ya es el tipo de salida más numeroso del conjunto de UTXOs.

Vale la pena nombrar una propiedad estructural: las salidas Taproot se comprometen con la clave pública ajustada (tweaked) directamente en la dirección bech32m; no hay una capa de hash delante. Toda salida P2TR está por eso "siempre expuesta" en términos poscuánticos (en inglés): la clave pública está en la cadena desde que se crea la salida, se gaste o no alguna vez. A cambio se obtienen la privacidad de la ruta de clave y la eficiencia para los contratos complejos. La solución, cuando lleguen las firmas poscuánticas, es un nuevo tipo de salida, no abandonar Taproot.

Lee Firma Schnorr (en inglés) y Agregación de firmas (en inglés) para conocer las piezas básicas.

Lee El proceso de los BIPs (en inglés) para ver el proceso que llevó a activar Taproot.

Profundiza en Cómo funciona Taproot en realidad (en inglés): el ajuste (tweak), las dos rutas de gasto byte a byte, lo que Schnorr cambió y lo que no, la cronología de la activación y cinco años de cifras de adopción.