MuSig2 в Bitcoin: два раунда и одна подпись Schnorr

• Что подтверждает первоисточник

  В обычной схеме MuSig2 каждый участник набора ключей вносит частичную подпись. В первом раунде участники обмениваются публичными nonce, во втором создают и передают частичные подписи. Агрегатор собирает из них одну подпись, которую можно проверить по BIP 340 с агрегированным публичным ключом. BIP 327 · MuSig2 ↗

• Что это меняет в анализе

  Итоговая подпись совместима с обычной проверкой Schnorr, но у кошелька остаётся сложная координация сеансов. Например, при обрыве связи сервис может повторно отправить уже сохранённое сообщение. Повторно запускать подпись с тем же секретным nonce для другого сеанса опасно: это может раскрыть ключ.

• Что проверить перед выводом

  При проверке реализации ищите однократное потребление секретного nonce, привязку к сеансу и явную обработку отказа подписанта. Отдельно испытайте восстановление после перезапуска между раундами. В базовом сценарии участвуют все ключи из выбранного набора.

Краткое изложение помогает быстро сориентироваться. Полная статья и ссылки на источники доступны на этой странице.