BURNFT

Burns (part of) a fungible UTXO. This effectively moves a certain balance of a fungible asset from a private ZEOS wallet to a transparent EOSIO/Antelope account. For this operation the entire ZEOS Action Circuit $C_{zeos}$ is used since one existing UTXO is being spent, part of its balance is publicly revealed and one new UTXO is being created by this action.

Privacy Implications

This action provides only limited privacy protection:

• sender: untraceable - hidden in zk-SNARK
• asset: traceable - quantity of the asset's smart contract's transfer action
• memo: traceable - memo of the asset's smart contract's transfer action
• receiver: traceable - the receiver's EOSIO/Antelope account

Flow

The following steps specify the flow of BURNFT.

Step 0

The UTXO $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$ represents an amount of a fungible EOSIO/Antelope asset from which a certain (partial) $\mathsf{amoun}{\mathsf{t}}_{\mathsf{b}}$ is to be transmitted to the EOSIO/Antelope account $\mathsf{accoun}{\mathsf{t}}_{\mathsf{b}}$. Therefore the following must apply: $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d1>=\mathsf{amoun}{\mathsf{t}}_{\mathsf{b}}$.

Step 1

Create a new UTXO tuple $\mathsf{not}{\mathsf{e}}_{\mathsf{c}}$ representing the 'change' to $\mathsf{amoun}{\mathsf{t}}_{\mathsf{b}}$ of $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$:

• $\mathsf{d}=$ Diversifier index of the sending¹ ZEOS wallet address
• $\mathsf{p}{\mathsf{k}}_{\mathsf{d}}=$ Public key of the sending¹ ZEOS wallet address
• $d1=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d1-\mathsf{amoun}{\mathsf{t}}_{\mathsf{b}}$
• $d2=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d2$
• $\mathsf{sc}=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.sc$
• $\mathsf{nft}=0$
• $\rho =$ Choose a random value
• $\psi =$ Choose a random value
• $\mathsf{rcm}=$ Choose a random value

¹ Note that it is also possible to choose a third wallet address for $\mathsf{not}{\mathsf{e}}_{\mathsf{c}}$ instead of the sender's address.

Step 2

Calculate the diversified transmission keys of all ZEOS wallet addresses involved (see section 5.4.1.6 of the Zcash Protocol Specification):

• ${{\mathsf{g}}_{\mathsf{d}}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}}=\mathsf{DiversifyHas}{\mathsf{h}}^{\mathsf{Orchard}}(\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d)$
• ${{\mathsf{g}}_{\mathsf{d}}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{c}}}=\mathsf{DiversifyHas}{\mathsf{h}}^{\mathsf{Orchard}}(\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.d)$

Step 3

Calculate the Commitment of the two UTXOs $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$ and $\mathsf{not}{\mathsf{e}}_{\mathsf{c}}$:

• $\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}}={\mathsf{NoteCommit}}_{\mathsf{rcm}}^{\mathsf{Orchard}}({{\mathsf{g}}_{\mathsf{d}}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}},\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.\mathsf{p}{\mathsf{k}}_{\mathsf{d}},\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d1,\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.\rho ,\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.\psi ,\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d2,\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.sc,\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.nft)$
• $\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{c}}}={\mathsf{NoteCommit}}_{\mathsf{rcm}}^{\mathsf{Orchard}}({{\mathsf{g}}_{\mathsf{d}}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{c}}},\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.\mathsf{p}{\mathsf{k}}_{\mathsf{d}},\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.d1,\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.\rho ,\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.\psi ,\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.d2,\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.sc,\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.nft)$

Step 4

Calculate the $\mathsf{root}$ of the Commitment Tree based on the sister path of $\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}}$.

Step 5

Calculate the Nullifier $\mathsf{n}{\mathsf{f}}_{\mathsf{a}}$ of $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$:

• $\mathsf{n}{\mathsf{f}}_{\mathsf{a}}=\mathsf{DeriveNullifie}{\mathsf{r}}_{\mathsf{nk}}(\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.\rho ,\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.\psi ,\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}})$

Step 6

Choose a random value ${\alpha }^{\prime }$ and calculate the Spend Authority $\mathsf{r}{\mathsf{k}}^{\prime }$ for this action (see section 4.17.4 of the Zcash Protocol Specification):

• ${\alpha }^{\prime }=$ Choose a random value
• $\mathsf{r}{\mathsf{k}}^{\prime }=\mathsf{SpendAuthSi}{\mathsf{g}}^{\mathsf{Orchard}}.RandomizePublic({\alpha }^{\prime },{\mathsf{ak}}^{\mathbb{P}})$

where $\mathsf{ak}$ is the Spend Validating Key of $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$ which is part of the Full Viewing Key.

Step 7

Set the private inputs $\omega$ of the arithmetic circuit:

• $\mathsf{path}=$ sister path of $\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}}$ in the Commitment Tree
• $\mathsf{pos}=$ leaf index of $\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}}$ in the Commitment Tree
• ${{\mathsf{g}}_{\mathsf{d}}}_a={{\mathsf{g}}_{\mathsf{d}}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}}$
• ${\mathsf{p}{\mathsf{k}}_{\mathsf{d}}}_a=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.\mathsf{p}{\mathsf{k}}_{\mathsf{d}}$
• ${d1}_a=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d1$
• ${d2}_a=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d2$
• ${\rho }_a=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.\rho$
• ${\psi }_a=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.\psi$
• ${\mathsf{rcm}}_a=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.rcm$
• ${\mathsf{cm}}_a=\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}}$
• $\alpha ={\alpha }^{\prime }$
• $\mathsf{ak}=$ Spend Validating Key of $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$ which is part of the Full Viewing Key
• $\mathsf{nk}=$ Nullifier Deriving Key of $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$ which is part of the Full Viewing Key
• $\mathsf{rivk}=$ ${\mathsf{Commit}}^{\mathsf{ivk}}$ Randomness of $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$ which is part of the Full Viewing Key
• ${{\mathsf{g}}_{\mathsf{d}}}_b=0$
• ${\mathsf{p}{\mathsf{k}}_{\mathsf{d}}}_b=0$
• ${d1}_b=\mathsf{amoun}{\mathsf{t}}_{\mathsf{b}}$
• ${d2}_b=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d2$
• ${\mathsf{sc}}_b=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.sc$
• ${\rho }_b=\mathsf{n}{\mathsf{f}}_{\mathsf{a}}$
• ${\psi }_b=0$
• ${\mathsf{rcm}}_b=0$
• ${\mathsf{acc}}_b=\mathsf{accoun}{\mathsf{t}}_{\mathsf{b}}$
• ${{\mathsf{g}}_{\mathsf{d}}}_c={{\mathsf{g}}_{\mathsf{d}}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{c}}}$
• ${\mathsf{p}{\mathsf{k}}_{\mathsf{d}}}_c=\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.\mathsf{p}{\mathsf{k}}_{\mathsf{d}}$
• ${d1}_c=\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.d1$
• ${\psi }_c=\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.\psi$
• ${\mathsf{rcm}}_c=\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.rcm$
• ${\mathsf{acc}}_c=0$

Step 8

Set the public inputs $x$ of the arithmetic circuit:

• $\mathsf{ANCHOR}=\mathsf{root}$
• $\mathsf{NF}=\mathsf{n}{\mathsf{f}}_{\mathsf{a}}$
• ${\mathsf{RK}}_X={\mathsf{r}{\mathsf{k}}^{\prime }}_x$
• ${\mathsf{RK}}_Y={\mathsf{r}{\mathsf{k}}^{\prime }}_y$
• $\mathsf{NFT}=0$
• ${\mathsf{B}}_{d1}=\mathsf{amoun}{\mathsf{t}}_{\mathsf{b}}$
• ${\mathsf{B}}_{d2}=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d2$
• ${\mathsf{B}}_{sc}=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.sc$
• ${\mathsf{C}}_{d1}=0$
• ${\mathsf{CM}}_B=0$
• ${\mathsf{CM}}_C=\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{c}}}$
• ${\mathsf{ACC}}_B=\mathsf{accoun}{\mathsf{t}}_{\mathsf{b}}$
• ${\mathsf{ACC}}_C=0$

Step 9

Generate ${\pi }_{C_{zeos},\omega ,x}$ a proof of knowledge of satisfying arguments $(\omega ,x)$ so that $C_{zeos}(\omega ,x)=1$

The pair $({\pi }_{C_{zeos},\omega ,x},x)$ is the zk-SNARK which attests to knowledge of private inputs $\omega$ without revealing them.

Step 10

Generate UTXO ciphertext ${\mathsf{not}{\mathsf{e}}_{\mathsf{c}}}_{\mathsf{enc}}$ of $\mathsf{not}{\mathsf{e}}_{\mathsf{c}}$ for the receiver of the UTXO (see section 4.19.1 of the Zcash Protocol Specification)

Generate an additional UTXO ciphertext ${\mathsf{not}{\mathsf{e}}_{\mathsf{b}}}_{\mathsf{enc}}^{\mathsf{burn}}$ of $\mathsf{amoun}{\mathsf{t}}_{\mathsf{b}}$ which is burned and therefore has the BURN flag set. This ciphertext is created only for the sender's wallet transaction history to detect burned UTXOs when scanning the ZEOS smart contract's state.

Step 11

Execute the BURNFT action of the ZEOS smart contract. This action takes the following arguments:

• ${\pi }_{C_{zeos},\omega ,x}$: The zero knowledge proof of satisfying arguments $(\omega ,x)$
• $x$: The public inputs of the zero knowledge proof ${\pi }_{C_{zeos},\omega ,x}$
• ${\mathsf{not}{\mathsf{e}}_{\mathsf{c}}}_{\mathsf{enc}}$: The UTXO ciphertext which is transmitted to the receiver of $\mathsf{not}{\mathsf{e}}_{\mathsf{c}}$
• ${\mathsf{not}{\mathsf{e}}_{\mathsf{b}}}_{\mathsf{enc}}^{\mathsf{burn}}$: The UTXO ciphertext which indicates the 'burned' $\mathsf{amoun}{\mathsf{t}}_{\mathsf{b}}$

The ZEOS smart contract then performs the following checks:

• Is the zero knowledge proof ${\pi }_{C_{zeos},\omega ,x}$ valid?
• Is the NFT flag unset ($x.\mathsf{NFT}=0$)?

Step 12

If $\mathsf{true}$, the ZEOS smart contract performs the following operations:

• Add $x.\mathsf{NF}$, the nullifier of $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$ to the Nullifier Set
• Add $x.\mathsf{C}{\mathsf{M}}_{\mathsf{C}}$, the note commitment of $\mathsf{not}{\mathsf{e}}_{\mathsf{c}}$, to the next free leaf of the Commitment Tree
• Add the new root of the Commitment Tree to the Commitment Tree Root Set
• Add ciphertext ${\mathsf{not}{\mathsf{e}}_{\mathsf{c}}}_{\mathsf{enc}}$ to the Transmitted UTXO Ciphertext List
• Add ciphertext ${\mathsf{not}{\mathsf{e}}_{\mathsf{b}}}_{\mathsf{enc}}^{\mathsf{burn}}$ to the Transmitted UTXO Ciphertext List
• Transfer $\mathsf{amoun}{\mathsf{t}}_{\mathsf{b}}$ of asset represented by $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$ into the EOSIO/Antelope account $\mathsf{accoun}{\mathsf{t}}_{\mathsf{b}}$.

If $\mathsf{false}$, cancel execution.