UTXO 合并与找零：真实成本与反制方法

2026 年 11 月 2 日，我们从比特币第 974,281 与第 974,276 号区块抽了 398 笔非 coinbase 交易。其中 8 笔是合并交易——10 个以上输入扫进 1 到 2 个输出。它们只占交易数的 2.0%，却吃掉了样本 904 个输入里的 276 个（30.5%）和 23.1% 的字节，合计付出 185,624 聪手续费，按 77,053 美元/BTC 折 143.05 美元。解读这一切只需两个启发式：同一笔交易里一起签名的输入属于同一个钱包；不是付款的那个输出就是找零。这篇不解释这两个启发式是什么，只算它们让你付了多少钱，以及什么办法真的能把账压下来。 (门罗费用机制)

计量单位是虚拟字节，而且并不统一。 对同一批 398 笔做最小二乘拟合：每笔固定开销 6.4 vB；每个原生隔离见证（P2WPKH）输入 68.0 vB，P2SH 92.2，老式 P2PKH 146.6，P2WSH 148.2；输出侧 P2WPKH 32.6、P2PKH 39.0、Taproot 21.7、OP_RETURN 69.3。Taproot 输入算出 69.8 vB，但样本里只有 17 个，只能当参考——密钥路径的 Taproot 输入按构造是 57.5 vB。P2WPKH 与 P2PKH 之间 2.2 倍的差距，正是为什么合并账单取决于币是哪个钱包造的，而不是你手里有多少币。

今天合并很便宜，而真正在合并的钱包并没有优化。 2026 年 11 月 2 日 18:04 UTC，内存池 52,687 笔、23.52 MvB，平均 0.306 sat/vB；出价 3 sat/vB 以上的只有 201,525 vB（0.86%），约五分之一个块；推荐费率为 3（最快）、3（半小时）、3（一小时）、2（经济）、1（最低）。按这个价，合并 10 个 P2WPKH 输出是 719 vB——2,157 聪、1.66 美元；20 个是 1,399 vB、4,197 聪、3.23 美元；50 个是 3,439 vB、7.95 美元。换成 20 个老式 P2PKH 输出，同样的事要 2,971 vB、6.87 美元。而那两个块里真实的合并交易付的是 7.03 与 7.53 sat/vB：一笔 92 输入、9,664.2 vB、67,977 聪（52.38 美元）；一笔 57 输入、5,221.5 vB、39,300 聪（30.28 美元）。摊到每个输入是 738.9 与 689.5 聪，即 0.57 与 0.53 美元，而 3 sat/vB 下 P2WPKH 输入只要 0.16 美元。它们花的是更重的脚本，出价还远高于市场。

合并是对未来费率的下注，不是省钱。 以后一次性花掉 20 个 UTXO 要 1,399 vB；现在合并也是 1,399 vB，之后再花掉合出来的那枚还要 107 vB。所以只有当未来费率更高时才划算。临界点是 r1 > r0 × 1,399/(1,399 − 107) = 1.083，也就是比今天高 8.3%。50 个时门槛降到 3.2%，10 个时升到 17.5%——因为 39 vB 的固定开销加输出在小合并里占比更大。而这还假设你真的一次把合并后的余额全部搬走。合并 20 枚、之后只花其中两枚，等于花 4,197 聪做了一笔根本不需要的交易。合并是一次时机交易，门槛可见、可算，不是折扣。

隐私那边不是交易，而是单向门。 同一样本里 77.1% 的交易只有一个输入，所以共同输入归属只在剩下的 22.9% 上生效——而合并是它最响亮的形态：几十个地址在公开区块里、带着时间戳、被永久签在一起。曾经给这些币打过款的每个地址都会被追溯归到同一个标签下，包括你上个月用来兑换的那个入金地址。没有撤销。所以合理的规则不是「把所有币都合并」，而是「只合并你愿意被公开绑在一起的币」，并且绝不跨越你刻意分开的来源，比如一次 KYC 交易所提币和一笔无 KYC 兑换的到账。

泄漏大多发生在找零上，因为兑换入金是个精确数字。 398 笔里 228 笔（57.3%）正好两个输出，112 笔（28.1%）只有一个，单输出的中位金额 269,374 聪，即 0.00269 BTC——那是不产生任何找零的精确匹配与清空。两输出组里，较小输出是中位 12.7% 于较大者，45.6% 的配对里有一个输出不到另一个的十分之一。把报价放进来：18:03 UTC，0.05 BTC 报 6.370191 XMR，而 0.05 这种整数几乎永远匹配不到某个 UTXO。钱包从更大的币里付，把余数找回给你，然后把这笔配对永久公开。当付款侧正好等于报价金额时，分析者连猜哪边是找零都不需要。

真正有用的办法，按效果排序。 一，coin control：自己选输入，优先挑一个正好等于入金额的 UTXO，这样根本不会有找零。二，精确金额选择——Bitcoin Core 的分支界限算法就是干这个的，28.1% 的单输出交易与其余的差别就在这里。三，按用途分钱包，而不是合并：用来做兑换入金的钱包不该同时收工资或交易所提币。四，真要合并就在像今天这样的窗口（1 到 3 sat/vB）做，而且只合并你打算一起搬走的币；同样的 20 输入合并在 30 sat/vB 下要 41,970 聪（32.34 美元），不是 3.23 美元。作为对照，门罗按千字节计价，当前费率下限 20,000 piconero，四档为每 kB 20,000、80,000、320,000、4,000,000 piconero，内存池 42 笔，高度 3,797,726；每多一个输入约 686 字节，即 0.0000137 XMR、0.008 美元。单输入成本低得多——但保护门罗交易的从来不是输入数量。

给兑换用户的五步操作。 一，先定入金币种，再去看 UTXO；付 BTC 就优先挑一个接近报价金额的币。二，打开 coin control，确认找零地址是新的，不是你公开过的。三，按报价的精确金额发送：18:03 UTC 时 100 USDT-TRC20 报 0.14706716 XMR、1,000 报 1.652617，入金那一腿必须与服务方要求的位数一致。四，退款地址填你自己控制、且从未用过的地址，因为退款只按入金网络、以原资产退回。五，别急着把找零和其他币合并——大多数人就是在这一步把刚花钱买来的隔离又拆掉了。价格在动：本文所有数字都是 2026 年 11 月 2 日的快照，实际以下单时的实时报价为准。 (转错网络如何找回)