1
$$
2
得到：
3
$$
4
P + Q = (x_3, y_3)
5
$$
6
当 `P = Q` 时，叫点倍加：
7
$$
8
2P = P + P
9
$$
10
tips:需要注意，当前加法同样为椭圆曲线加法，而非标量域加法。
11
此时斜率为：
12
$$
13
\lambda \equiv \frac{3x_1^2}{2y_1} \pmod p
14
$$
15
因为 secp256k1 的曲线是：
16
$$
17
y^2 = x^3 + 7
18
$$
19
没有 `ax` 项，所以这里没有额外的 `a`。
20
### 3. 标量乘法
21
标量乘法就是重复点加法：
22
$$
23
[k]P = \underbrace{P + P + \cdots + P}_{k \text{ times}}
24
$$
25
例如：
26
$$
27
[3]P = P + P + P
28
$$
29
在钱包里最重要的关系就是：
30
$$
31
Q = [d]G
32
$$
33
其中：
34
- d: 私钥，一个标量
35
- G: secp256k1 规定好的基点
36
- Q: 公钥，一个曲线点
37
从私钥 `d` 计算公钥 `Q` 很快，但从公钥 `Q` 反推私钥 `d` 极难。这就是椭圆曲线离散对数问题。
38
### 4. 基点 G 和阶 n
39
`G` 是 secp256k1 标准中选定的生成点，也叫基点。它的阶是 `n`，意思是：
40
$$
41
[n]G = O
42
$$
43
并且：
44
$$
45
\langle G \rangle = \{O, G, [2]G, [3]G, \ldots, [n-1]G\}
46
$$
47
其中 `n` 是一个接近 `2^256` 的大素数。
48
对于 secp256k1，有一个重要性质：
49
$$
50
h = 1
51
$$
52
也就是 cofactor 为 1。因此，由 `G` 生成的阶为 `n` 的循环群就是整条曲线的点群：
53
$$
54
\#E(\mathbb{F}_p) = n
55
$$
56
### 5. p 和 n 的区别
57
这里最容易混淆的是 `p` 和 `n`。
58
`p` 是坐标域大小：
59
$$
60
x, y \pmod p
61
$$
62
点加法、点倍加里的坐标计算都在 `mod p` 下进行。
63
`n` 是基点 `G` 的阶：
64
$$
65
[n]G = O
66
$$
67
私钥、nonce、签名里的 `r/s` 等标量计算都在 `mod n` 下进行。
68
所以可以这样记：
69
- 点坐标计算：mod p
70
- 标量计算：mod n
71
Ethereum 钱包里的私钥满足：
72
$$
73
1 \le d \le n-1
74
$$
75
公钥为：
76
$$
77
Q = [d]G
78
$$
79
签名时的随机数或确定性 nonce `k` 也满足：
80
$$
81
1 \le k \le n-1
82
$$
83
这套结构就是后续 ECDSA 签名公式、公钥恢复、Ethereum 地址生成的数学基础。