Nullifier

El nullifier resuelve una tensión propia de los sistemas privados: garantizar que cada nota se gasta una sola vez sin renunciar al anonimato. En el esquema canónico de compromiso más nullifier, el usuario genera al depositar dos secretos aleatorios, calcula un compromiso como hash de ambos y lo inserta en un árbol de Merkle on-chain. El compromiso queda registrado, pero nada lo vincula todavía a una identidad.

Al retirar o gastar, el usuario publica una prueba de conocimiento cero de que conoce un compromiso que pertenece al árbol de Merkle y de que el nullifier deriva de ese compromiso, sin revelar qué hoja es. El contrato publica entonces el nullifier hash y lo guarda en una lista de marcas ya usadas. Si el nullifier ya estaba registrado, la operación se rechaza por doble gasto; si no, se ejecuta y se anota. Aunque el nullifier es público, no hay forma de enlazarlo con el compromiso de depósito original.