Taproot Schnorr MAST : softfork Bitcoin 2021 expliqué

Taproot est le softfork Bitcoin le plus important depuis SegWit en 2017. Activé le 14 novembre 2021 à la hauteur de bloc 709 632, il combine trois BIP qui se complètent : Schnorr (signatures), Taproot (structure d'outputs), Tapscript (langage de script enrichi). L'ensemble a été élaboré pendant plus de deux ans par Pieter Wuille, Tim Ruffing, Anthony Towns, Greg Maxwell et plusieurs autres contributeurs, sans la controverse du précédent softfork.

L'intérêt de Taproot tient en trois propositions opérationnelles. Premièrement, les signatures Schnorr remplacent ECDSA dans les nouveaux scripts : plus petites, agrégables, prouvablement sûres sous une hypothèse cryptographique standard. Deuxièmement, les outputs Taproot rendent un multisig 3-of-5 indistinguable d'un paiement single-sig à l'observation externe, ce qui améliore la confidentialité de tout le réseau. Troisièmement, MAST permet d'encoder des contrats à branches multiples sans révéler à la chaîne les branches non utilisées.

Cinq ans après, l'adoption Taproot dépasse 25 % des outputs UTXO récents, MuSig2 est implémenté dans Sparrow, Specter, Casa et Unchained, et les premières applications channel factories Lightning utilisent Taproot. Cet article décortique chacun des trois BIP, l'agrégation MuSig2, MAST, l'état d'adoption et les applications concrètes.

BIP 340 : signatures Schnorr

Bitcoin utilisait depuis 2009 l'algorithme ECDSA (Elliptic Curve Digital Signature Algorithm) sur la courbe secp256k1. ECDSA fonctionne mais a deux limites historiques : ses signatures ne s'agrègent pas nativement, et sa preuve de sécurité est moins propre que celle d'autres schémas signatures. Claus-Peter Schnorr a proposé en 1988 un schéma alternatif (les signatures Schnorr) dont le brevet a expiré en 2008, juste à temps pour Bitcoin, mais Satoshi a choisi ECDSA pour des raisons de standardisation industrielle.

BIP 340 (Pieter Wuille, Jonas Nick, Tim Ruffing, 2020) introduit les signatures Schnorr dans Bitcoin via Taproot. Trois propriétés mathématiques distinguent Schnorr d'ECDSA. Premièrement, la linéarité : la somme de deux signatures Schnorr est encore une signature Schnorr valide, ce qui permet l'agrégation native (nous y revenons avec MuSig2). Deuxièmement, la preuve de sécurité dans le modèle aléatoire est plus directe, sous l'hypothèse standard du discrete logarithm. Troisièmement, les signatures sont légèrement plus petites (64 octets contre 71-72 pour ECDSA), ce qui réduit le poids des transactions multisig.

En pratique, un user moyen ne voit pas la différence quand il signe une transaction Taproot single-sig : son wallet utilise Schnorr sous le capot, la transaction part dans le bloc, le destinataire encaisse. Mais l'économie cryptographique change avec l'agrégation. Un multisig 3-of-5 traditionnel publie 3 signatures distinctes (3 × 71 octets) plus le script de déverrouillage. Un multisig 3-of-5 Schnorr+MuSig2 publie une seule signature agrégée (64 octets), indistinguable d'un single-sig.

BIP 341 : outputs Taproot et MAST

BIP 341 définit le format des outputs Taproot. Une adresse Taproot commence par bc1p (au lieu de bc1q pour SegWit v0). Elle encode une clé publique unique qui peut être déverrouillée de deux manières : par une signature Schnorr (key-spend path, le cas le plus fréquent), ou par l'exécution d'un script choisi parmi un arbre de scripts possibles (script-spend path, pour les contrats complexes).

Le mécanisme MAST (Merklized Abstract Syntax Tree) sous-tend le script-spend path. L'auteur du wallet définit un arbre de scripts possibles (par exemple : « single-sig de Alice », « multisig 2-of-3 », « script urgence après 6 mois »). Chaque feuille de l'arbre est un script. La clé publique Taproot est dérivée d'une racine de Merkle qui résume l'arbre, sans révéler les scripts individuels. À la dépense, on choisit la feuille qu'on veut exécuter, on prouve son inclusion dans l'arbre via les hashes parents, et on l'exécute. Les autres feuilles restent secrètes pour toujours.

Conséquence pour la confidentialité : tant que le key-spend path est utilisé (le cas typique), aucun observateur externe ne peut deviner s'il existe ou non un arbre MAST derrière. Un single-sig, un 2-of-3 multisig avec key aggregation, un coffre time-locked complexe ressemblent tous à la même adresse bc1p à l'observation. C'est le grand pas de confidentialité de Taproot, plus important dans le long terme que les gains de taille.

BIP 342 : Tapscript

Tapscript est la version mise à jour du langage Bitcoin Script utilisable dans le script-spend path d'un output Taproot. Il garde la majorité de l'ancien Script (les opcodes habituels OP_DUP, OP_HASH160, OP_CHECKSIG, etc.) mais introduit trois changements importants. Premièrement, OP_CHECKSIG et OP_CHECKSIGVERIFY utilisent maintenant les signatures Schnorr au lieu d'ECDSA. Deuxièmement, OP_CHECKMULTISIG est retiré (il était la cause de surcoûts et d'ambiguïtés) et remplacé par OP_CHECKSIGADD, un opcode plus flexible et plus simple à analyser.

Troisièmement, Tapscript prépare le terrain pour l'extensibilité future via les Tapleaf versions. Chaque feuille de l'arbre MAST porte un numéro de version qui dit comment elle doit être interprétée. La version 0 est la Tapscript actuelle ; les versions 1-255 sont réservées pour des évolutions futures (incluant potentiellement OP_CTV, OP_VAULT et les covenants en discussion). Cette extensibilité réduit le coût des prochains soft-forks puisqu'ils peuvent ajouter de nouveaux opcodes sans casser l'existant.

Pour un développeur de wallet, Tapscript est plus agréable à utiliser que l'ancien Script. Pour un user final, c'est transparent. La compatibilité ascendante est garantie : les outputs P2PKH, P2SH, P2WPKH et P2WSH (les anciens formats) continuent de fonctionner indéfiniment ; Taproot est purement additif.

MuSig2 : agréger les clés et les signatures

MuSig2 (Nick, Ruffing, Seurin, 2020) est le protocole d'agrégation de signatures Schnorr utilisé en pratique en 2026. Il permet à N signataires de combiner leurs clés publiques en une seule clé publique agrégée (qui devient l'adresse Taproot), puis de produire ensemble une seule signature Schnorr valable sous cette clé agrégée. Le résultat ressemble exactement à un single-sig pour la blockchain, alors qu'il a fallu N participations pour le produire.

L'avantage pratique est massif pour les multisig modernes. Un 2-of-2 entre époux, un 3-of-5 entreprise, un 2-of-3 sécurisé par hardware wallet utilisent MuSig2 pour produire une signature unique. La transaction est plus petite (moins de frais), plus rapide à valider, et confidentielle vis-à-vis des observateurs externes qui ne distinguent plus un multisig d'un wallet personnel. Casa et Unchained ont basculé leurs nouveaux multisig sur MuSig2 dès 2024 ; Sparrow et Specter l'ont en 2025.

Le protocole demande deux rounds de communication entre signataires (un échange de nonces engagés, puis un échange de signatures partielles), ce qui est compatible avec une signature collective réalisée par PSBT (Partially Signed Bitcoin Transaction) sur des hardware wallets séparés. La cryptographie sous-jacente est plus délicate qu'ECDSA (les nonces doivent être générés correctement sous peine de fuite de clé), ce qui fait que les implémentations doivent être prudentes. Les bibliothèques libsecp256k1 et BIP327 standardisent le protocole.

État d'adoption en 2026

Cinq ans après l'activation, l'adoption Taproot a progressé par paliers. Au début 2022, moins de 1 % des outputs émis utilisaient le format bc1p, principalement des transactions de test et quelques early adopters. Fin 2022, ~3 %. Fin 2023, ~10 %, porté par la frenzy Ordinals/Inscriptions qui utilise massivement Taproot. Fin 2024, ~18 %. En 2026, on dépasse régulièrement 25 % d'outputs Taproot dans les blocs récents.

L'adoption côté wallet est désormais généralisée. Bitcoin Core génère par défaut des adresses Taproot depuis la version 24 (2022). Sparrow, Specter, Electrum, BlueWallet, Phoenix, Muun, Wallet of Satoshi, Aqua, Nunchuk : tous supportent l'envoi et la réception. Côté multisig de garde, Casa, Unchained et Liana ont basculé leurs nouveaux setups sur Taproot+MuSig2 entre 2024 et 2026. Les anciens setups multisig sur les formats P2WSH (bc1q) restent fonctionnels mais ne profitent pas des gains de confidentialité.

Les freins résiduels viennent essentiellement des exchanges et des prestataires institutionnels. Beaucoup acceptent les retraits vers Taproot (envoyer à une adresse bc1p), mais peu utilisent Taproot pour leurs propres mouvements internes, par crainte d'incompatibilités avec leurs outils de compliance et de comptabilité. Cette inertie est en train de se résorber : Coinbase a annoncé en 2025 le passage progressif, Kraken en 2026. Quand les exchanges institutionnels passeront, Taproot deviendra le format majoritaire.

Applications : multisig moderne et Lightning

Multisig confidentiel. Avant Taproot, un multisig 2-of-3 publiait dans la chaîne son script de déverrouillage à la dépense, ce qui révélait à l'observateur qu'il s'agissait d'un multisig et même combien de cosignataires existent. Avec Taproot+MuSig2, le multisig est indistinguable d'un single-sig. C'est le gain d'anonymat le plus tangible pour les utilisateurs avancés : un wallet pro avec 3 hardware wallets en multisig ressemble à n'importe quel wallet personnel à la blockchain.

Vaults et coffres time-locked. Liana (Wizardsardine, 2023) utilise MAST pour construire des coffres avec plusieurs chemins de dépense : « clé principale Alice » (key-spend, instantané), ou « Alice plus avocat après 6 mois d'inactivité » (script-spend MAST, branche de recouvrement), ou « héritier après 3 ans » (autre branche). Tant qu'Alice utilise le chemin principal, les branches de recouvrement restent secrètes pour la blockchain. C'est le pas en avant majeur pour la transmission Bitcoin.

Lightning channel factories. Comme évoqué dans l'article Lightning avancé, les channel factories nécessitent Taproot pour fonctionner efficacement. Une factory Taproot ressemble à un single-sig pour la chaîne, alors qu'elle héberge en interne plusieurs canaux Lightning entre plusieurs participants. Le coût on-chain est mutualisé, la confidentialité est maintenue. Premiers déploiements expérimentaux en 2025, généralisation espérée 2027-2028. C'est la prochaine grande étape Lightning, et elle repose entièrement sur Taproot.

Avertissement

Contenu éducatif et informatif uniquement : ni conseil en investissement, ni conseil fiscal ou juridique. Bitcoin comporte des risques importants, dont une forte volatilité et la perte possible du capital investi. Chaque lecteur reste responsable de ses décisions ; en cas de doute, consultez un professionnel qualifié dans votre juridiction.

Voir aussi

Pour le multisig de garde et ses cas d'usage, voir Multisig Bitcoin : 2-of-3 et au-delà. Pour Lightning Network et son évolution Taproot, voir Lightning Network avancé. Pour la vue d'ensemble des sujets techniques avancés, voir le guide Approfondir Bitcoin.