Nullifier

O nullifier resolve uma tensão própria dos sistemas privados: garantir que cada nota seja gasta uma única vez sem abrir mão do anonimato. No esquema canônico de compromisso mais nullifier, o usuário gera, ao depositar, dois segredos aleatórios, calcula um compromisso como hash de ambos e o insere em uma árvore de Merkle on-chain. O compromisso fica registrado, mas nada o vincula ainda a uma identidade.

Ao sacar ou gastar, o usuário publica uma prova de conhecimento zero de que conhece um compromisso pertencente à árvore de Merkle e de que o nullifier deriva desse compromisso, sem revelar qual folha é. O contrato publica então o hash do nullifier e o guarda em uma lista de marcas já usadas. Se o nullifier já estava registrado, a operação é rejeitada por gasto duplo; caso contrário, é executada e anotada. Embora o nullifier seja público, não há como vinculá-lo ao compromisso do depósito original.