把 BTC 课堂上的问答整理成笔记，是我最近觉得收获最大的一件小事。原因很简单：比特币的很多概念不是背出来的，而是问出来的。比如“为什么要等六个确认”“为什么区块里要放 Merkle 根”“手续费到底怎么算”，这些坑如果不通过提问把它顶到明面上，看十遍教材也容易 get 不到真正的逻辑。
这份笔记给我最大的感受是，问答体特别适合当入门材料。因为每个问题背后，都代表了一类真实的困惑：有概念混淆的、有实践中踩坑的、也有对“为什么这么设计”的好奇。下面我就按笔记里问答出现的顺序，把核心问题、解析过程和我自己补充的验证方法一起整理出来。适合刚接触区块链、想搞懂 BTC 底层机制的人读，也适合给别人做技术科普时当提纲用。
1. 问答式学习，为什么比按章节看书更管用
先说学习方法的问题。比特币的文档和白皮书不是长得吓人，而是互相嵌套的概念太多：哈希函数、数字签名、UTXO、工作量证明、最长链规则……每一样都像单独的积木，可你不把它们拼起来看，就永远不知道“账本”这个东西到底是怎么去中心化运转的。
我笔记里印象最深的一次问答是：“比特币到底有没有余额？”当时我下意识觉得有，因为有地址、有钱包、有转账金额。但课上老师的反问是：“如果你把一个 UTXO 拆成两笔输出，一笔是给对方，一笔是找零，那钱包显示的余额到底是一个数字还是两个数字？”这个反问一下子把我从“银行账户”的惯性思维里拽出来了。
问答笔记的好处就在于，它不像教材那样把结论平铺开来，而是保留了“错误感知”和“被纠正”的过程。你盯着“UTXO 不是余额、是一组转账输出”这句话，可能完全没感觉；但当你先是答错、又顺着问题一步步复盘，印象会深得多。
而且问答笔记天然适合碎片时间阅读。今天翻到“为什么挖矿要看算力”，明天翻到“交易确认是什么”，每一个问题都可以独立看懂，不要求从头线性通关。这也是我决定把笔记里比较典型的段落整理成这篇内容的原因——如果你是第一次接触，可以顺着读；如果只是某个点卡住了，直接跳到对应标题也行。
2. 账本不记余额：从 UTXO 到区块头的变化
2.1 比特币里没有“账户余额表”
打开银行 App 能看到一个明确的余额数字，但比特币协议里并没有这样一张表。系统里只有一串交易记录，每一笔交易都包含输入和输出，而且输入必须是之前某笔交易的输出，这笔输出被称为 UTXO（Unspent Transaction Output，未花费的交易输出）。
可以把它理解成现金找零。你手上有两张十块，想给别人十五块，就得先给出二十块，再让对方“找”你五块。这一进一出不是银行流水，而是现金的归属转移。UTXO 模型下的转账也类似：你要花的，不是“账户里的数字”，而是“某一个还没有被花掉的输出”；花完之后，会产生两个新输出：一个给收款人，一个是找零给自己。
这也是问“余额是多少”时最容易错的地方：钱包显示的余额，不过是对这个地址名下所有未花费输出做加法的结果。换个钱包软件，算法、历史查询方式不同，余额甚至可能因为同步高度不一致而显示不同。理解这一点之后，再反过来看“私钥丢了就是钱丢了”，逻辑就顺了：私钥决定了你能否构造一笔合法签名，去花掉那些关联到该地址的 UTXO。
2.2 哈希指针：让每一页账本锁住上一页
传统账本如果被撕掉一页，很难被立刻发现。比特币用了一个结构防止这种篡改：每个区块的头部，都放着上一个区块整个内容的哈希值。
哈希只是一个固定长度的数字指纹，哪怕输入改一个字符，输出也会面目全非。新区块在诞生时会把“前一区块哈希”写进自己头部，等于每一页账本都自带前一页的封条。你如果要偷偷改掉某一段历史，就不能只改那一页，而要把从这一页往后的所有页面全部重新计算，因为后面每一页里的“前一页哈希”都会对不上。
这个链条设计看起来很朴素，但跨页篡改的计算代价是很大的。尤其到了下一点，配合多节点存储，篡改者要面对的不只是算一遍代码，而是要和全网所有愿意遵守规则的人赛跑。
2.3 全节点、轻节点和数据冗余
课堂问答里有个高频问题：“数据存在哪里？”答案是：由所有全节点各自保存一份完整区块链数据。节点之间通过 P2P 网络同步新块，任何人只要下载数据并运行验证程序，就可以参与校验。
这种“人人都有账本副本”的模式看起来冗余，但带来的安全收益很大：单个节点损坏或掉线，不影响全网；想要伪造某段历史，就必须让足够多的节点都接受这份伪历史，而不是去攻破一个中心服务器。轻节点不存完整数据，只保存区块头，靠全节点验证部分交易即可完成支付，这样在手机端也能跑。
3. 从广播到六次确认：一笔交易的完整生命周期
3.1 构造交易时要签什么、验证什么
一个典型的 BTC 交易有三块信息：输入（引用之前的 UTXO）、输出（收款地址和金额）、脚本或签名。签名是最容易理解错的地方，它不是签“一句话”，而是对交易内容本身的承诺：只要输入、输出、金额、手续费有任何变化，签名校验立即失败。
这里课上的比喻很形象：你有私钥，就像手里的专用印章。你拿印章在交易合同上一盖，所有人只要有对应的公钥就能验证“你确实印过章”。但他们不能拿这个章去盖别的合同，因为每一份合同的签名数据都不同。密码学上的 ECDSA 签名保证两点：第一，只有持有私钥的人能产生有效签名；第二，签名与具体交易绑定，不能挪到别的交易上复用。
所以“私钥必须离线保管”不是一句空话。交易广播出去后，别人能看到你的公钥，但拿不到你的私钥；若私钥泄露，别人就能替你把对应的 UTXO 花掉，协议层面根本分辨不出哪个是“本人”操作。
3.2 内存池排队，矿工不是按心情打包
在你点下“发送”之后，交易会先到达节点并被广播，但这一刻它还没有进入区块链。它躺在一个叫作内存池（mempool）的地方，等待矿工挑选打包。
矿工打包通常会优先选“手续费相对字节数更高”的交易。比特币的区块有容量限制，每块能容纳的交易总量是有限的。矿工从内存池里捞交易时，自然会先把那些手续费给足的交易塞进去。这里有一个常见误区：手续费不是单独收的，而是“输出金额之和”小于“输入金额之和”的差额。比如你输入总额为 1 BTC，向对方输出 0.9995 BTC，那 0.0005 BTC 就是矿工取走的手续费，不用再额外从余额里扣。
手续费给太低会怎样？交易会一直在内存池排队，甚至网络拥堵时可能等几个小时甚至更久。笔记里特别注明了一个判断方法：去查看同字节数交易在最近区块中的费率分布，如果自己的交易费率明显低于近期区块中位数，临时就不会被打包。
3.3 六个确认到底防住了什么
交易被矿工打包进新区块，叫一次确认。此后每多挖出一个新区块，这个区块的确认数就加一。通常建议至少等 6 次确认，才认为交易“足够安全”。
为什么要等？因为链条可能临时分叉。某笔交易刚被打包，区块还没来得及传播得很广时，另一个矿工可能又挖出了新块并形成竞争分支，最终网络可能选择另一个分支。如果交易恰好落在被丢弃的分支上，它就会回到内存池，等重新打包。等待的确认次数越多、链条上又垒了几块，这笔交易被推翻的概率就越指数级下降。
双花攻击的本质，正是利用这种不确定性：攻击者向商家付款，同时私底下构造另一条被隐藏的链，把同一笔资金再花给自己。如果攻击者的算力可以超过或者接近全网其余算力，就有可能等到商家发货后，再让隐藏链追上公开链并替代它。6 个确认不是数学上的绝对证明，而是概率边界：当确认次数达到 6 时，理论上除非攻击者算力极高或者创造极端长度的私链，普通场景已不值得等待更久。
4. 挖矿不是“算题”，是在碰概率
4.1 目标值与 Nonce 的课堂比喻
挖矿常被描述成“解数学题”，其实更准确地说，是在做一个穷举抽奖。矿工要把区块头加上一个可以调整的随机数 Nonce，做两次 SHA-256 哈希，得到一个 256 位的数字。如果这个数字小于当前网络设定的目标值，就算挖矿成功。
可以类比成掷一个超大的 256 面骰子，每一面都长得不一样，但只有很小一个区间内的数值算“中奖”。Nonce 就是不断换的骰子，矿工不停改变它，重新计算哈希，直到结果命中困难区间的极小区域。
这个过程没有逻辑推理上的捷径：对方块头稍改一个字节，哈希完全不可预知，所以只能暴力尝试。这也解释了为什么矿机会发展为专门的集成哈希芯片：通用 CPU 算这个效率太低，专用芯片能每秒跑亿万次哈希，本质上就是把“抽奖次数”堆上去。
4.2 难度重调：每 2016 个区块校准一次
目标值不是固定的。比特币网络每生成 2016 个区块，大约换算为两周，就会做一次难度调整：统计这次 2016 块的实际生成时间，如果小于 2 周，说明出块太快，就把目标值调小，让挖坑更难；如果大于 2 周，就把目标值调大，让挖坑更容易。
调整公式大致是“新目标值 = 旧目标值 × 实际耗时 / 期望耗时”。通过这个反馈回路，比特币把平均出块时间稳定在 10 分钟左右，而不是依赖某个中心服务器强制规定。课堂里把这点单拎出来讲，是因为很多第一次接触 PoW 的人会误以为“难度是人为拍进去的”，实际上它是全网在过去 2016 个区块里用时间自动测出来并执行的。
难度高低直接影响矿工收益。全网总算力涨得快，难度就会上调，新矿工加入后单个矿机的出货概率并不会按比例提高太多，这就是我们常说的“算力军备竞赛”。
4.3 区块奖励减半与 2100 万上限的计算逻辑
新产出的区块会得到两部分收益：区块补贴和交易手续费。区块补贴每 210000 个区块减半一次，最初是 50 BTC，后来变为 25、12.5、6.25……这个等比数列加起来，让 BTC 总量天然收敛到不超过 2100 万。
计算方式不难：50 × 210000 × 2 = 2100 万。因为前 210000 个区块产出 50 亿聪，全部减半周期内的总产量是一个几何级数。之所以要强调“不超过”，是因为偶尔有交易输入损耗、误删等不会真的让总量超；而现实世界因为私钥丢失，实际流通量可能还低于理论总量。课堂上对“通缩是否好”吵了很久，但从协议层面看，总量恒定和减半节奏，是写在代码里的纪律，不随矿工短期意愿改变。
5. 分叉那一刻到底在争什么
5.1 自然分叉：两个矿工几乎同时挖到块
BTC 出块平均 10 分钟，但这是平均值。运气好的时候，两三分钟出一个块；极端情况下，也可能十分钟内一个块都没有。网络延迟会让矿工同时各自挖到新块的情况成为可能。
当两个合法区块几乎同时被不同矿工发现并在网络中传播时，节点会短暂看到两个分支：一个以 A 块为顶，一个以 B 块为顶。此时交易状态暂时是不一致的：某笔交易可能只在 A 分支里，不在 B 分支里。这不是系统故障，而是共识机制运行中的正常状态。
5.2 最长链规则：用累计工作量说话
面对分叉，节点默认跟随“累计工作量最大的那条链”，通常也是长度更长的那条。后面的矿工选择在哪条链上继续挖，决定了哪条链会更快长出下一块。一旦新块被加到 A 分支上，A 分支就成了事实上的主链，B 分支上的区块会被丢弃，回到所谓“孤儿块”状态。
这个规则的意义在于：它不依赖某种投票身份，只依赖实际投入的哈希算力。恶意节点可以自建一条分支，但在累计工作量上追不上主链，即使追上了，还得保证后续矿工愿意继续在它这条虚拟链上挖，并且所有节点都接受这份新历史。对个人而言，这几乎是不可完成的任务；对掌握大量算力的人，成本也会极高。
5.3 硬分叉与软分叉，兼容性怎么判断
课堂问答里容易混淆的还有“代码分叉”。比特币历史上出现过社区对区块大小等规则意见不一的情况，于是部分矿工或节点可能部署新规则，制造出与旧节点不兼容的节点。
硬分叉意味着新规则产生的区块，不再被旧节点接受；旧节点依然守着老规则，网络一分为二，两边各自记账，代币也可能“一币两卖”。软分叉则是新区块仍被旧节点接受，但旧节点可能不理解细节，只通过验证标准的“放宽或收紧”来维持兼容。这个问题做开发时非常容易踩坑，判断标准就一条：旧版本节点会不会拒绝新版本产生的区块，会拒绝就是硬分叉，不会拒绝但可能看不懂部分数据，则是软土玄。
6. 笔记里那些最容易答错的小问题
6.1 地址不等于公钥，更不等于钱包
比特币地址大多由公钥经过哈希和编码而来，但地址本身并不是公钥。课堂上提问“把地址给别人，私钥要不要给”，几乎所有人都能答对“不给”。但紧接着问“只把地址给出去，别人能不能反推出你的公钥？”很多人会卡住。
答案是：不一定。旧式 P2PKH 地址在支付时公钥会出现在交易脚本里，别人能通过链上交易反查到公钥；但较新的隔离见证地址有时可以只在签名中提供更短的信息，不在 P2PKH 场景下暴露完整公钥。关键在于，别人能看到公钥也看不到私钥，签名算法保证了知道公钥不能逆推出私钥。不要把“地址是公钥哈希”简化成“地址就是公钥”，面试也好、给别人讲也好，这个细节一露馅就会带崩后面的信任。
6.2 找零地址：一笔转账产生两个输出
钱包里转账给朋友 0.3 BTC，输入是花掉一个 1 BTC 的 UTXO，系统并不会恰好自动生成一个 0.3 BTC 的输出。实际结果是：给朋友 0.3 BTC，给自己找零 0.6999 BTC（剩下 0.0001 是手续费）。找零地址可以是同一个地址，也可以是钱包随机生成的新地址。
这个“凭空多出来的输出”经常被首次接触 UTXO 的人当成规则错误：明明我只转一次账，链上怎么会有两个输出？理解找零模型以后，很多看似“地址数量不对”的链上数据，一眼就能看穿。
6.3 交易手续费不是越高越好，也不是固定值
手续费按交易字节数或 weight 单位来算，一个普通 P2PKH 转账大约 226 字节，而隔离见证交易可能更瘦。用费率（sat/vB）而非绝对金额去评估手续费，才是正确的姿势。
一堆人只知道“调高手续费能快”，却不知道为什么。矿工的内存池就像一个拍卖市场，每条交易按费率排序，区块空间有限时，只有排在前面的交易才进块。给太高的费率是白白浪费；给太低则要等很久。笔记里写了一个经验值：非拥堵期，普通转账用“最低费率 + 一点余量”就够；拥堵期要参考近几个区块中占主导的费率区间。
6.4 聊隐私时别把“化名”说成“匿名”
比特币链上所有交易公开，地址和交易记录永久保留。用户用一串随机地址参与交易，这更像笔名而非匿名的完全屏蔽。只要某个地址和现实身份发生过关联，比如交易所转账记录、实名购物地址、公共场合晒 QR 码，别人就可能顺着整条链上的输入输出做地址聚类。
问答里老师给了一个很实操的建议：用过的地址尽量不要重复接收大额资金；要隔离用途，让上下游关联变弱；对隐私要求高时，可以考虑在交易结构层做更复杂的处理，而不是指望“比特币天然匿名”。
7. 整理完问答笔记之后，我会做的三个小验证
让这些问答真正“内化”的最好办法，是回到实际数据里做验证。我个人每次整理完笔记，都会铺开区块浏览器的网页做三件事。
一是找一个近期区块，看看区块头里的难度目标和上一个区块哈希，验证“前一区块哈希”确实等于上一个区块头哈希。二是随机挑一笔最近确认的交易，把它的输入和输出按 UTXO 模型拆开，确认“输入求和 - 输出求和 = 手续费”，然后到区块里看矿工实际收到的手续费是否一致。三是自己构造一笔小额转账时，故意只给一个略低于当前推荐费率的 fee 试试，观察它在内存池里的状态变化。经历过“交易半天没确认”之后，再回来看第 3、4 章写的内容，理解会彻底不一样。
笔记可以一直往下记，但我慢慢觉得，问答形式最重要的价值不是把所有结论背下来，而是把每个结论背后的“为什么”重新问一遍。只要这个问题还存在，BTC 的学习就不会变成死记硬背。
