TRANSFERFT

Transfers (part of) a fungible UTXO. This effectively moves a certain balance of a fungible asset from one private ZEOS wallet to another. For this operation the entire ZEOS Action Circuit $C_{zeos}$ is used since one existing UTXO is being spent while two new UTXOs are being created by this action.

Privacy Implications

This action provides full privacy protection:

• sender: untraceable - hidden in zk-SNARK
• asset: untraceable - hidden in UTXO ciphertext
• memo: untraceable - hidden in UTXO ciphertext
• receiver: untraceable - hidden in UTXO ciphertext

Flow

The following steps specify the flow of TRANSFERFT.

Step 0

The UTXO $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$ represents an amount of a fungible EOSIO/Antelope asset from which a certain (partial) $\mathsf{amoun}{\mathsf{t}}_{\mathsf{b}}$ is to be transmitted. Therefore the following must apply: $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d1>=\mathsf{amoun}{\mathsf{t}}_{\mathsf{b}}$.

Step 1

Create a new UTXO tuple $\mathsf{not}{\mathsf{e}}_{\mathsf{b}}$ representing the receiving $\mathsf{amoun}{\mathsf{t}}_{\mathsf{b}}$ of the asset:

• $\mathsf{d}=$ Diversifier index of the receiving ZEOS wallet address
• $\mathsf{p}{\mathsf{k}}_{\mathsf{d}}=$ Public key of the receiving ZEOS wallet address
• $d1=\mathsf{amoun}{\mathsf{t}}_{\mathsf{b}}$
• $d2=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d2$
• $\mathsf{sc}=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.sc$
• $\mathsf{nft}=0$
• $\rho =$ Choose a random value
• $\psi =$ Choose a random value
• $\mathsf{rcm}=$ Choose a random value

Create a new UTXO tuple $\mathsf{not}{\mathsf{e}}_{\mathsf{c}}$ representing the 'change' to $\mathsf{amoun}{\mathsf{t}}_{\mathsf{b}}$ of $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$:

• $\mathsf{d}=$ Diversifier index of the sending¹ ZEOS wallet address
• $\mathsf{p}{\mathsf{k}}_{\mathsf{d}}=$ Public key of the sending¹ ZEOS wallet address
• $d1=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d1-\mathsf{amoun}{\mathsf{t}}_{\mathsf{b}}$
• $d2=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d2$
• $\mathsf{sc}=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.sc$
• $\mathsf{nft}=0$
• $\rho =$ Choose a random value
• $\psi =$ Choose a random value
• $\mathsf{rcm}=$ Choose a random value

¹ Note that it is also possible to choose a third wallet address for $\mathsf{not}{\mathsf{e}}_{\mathsf{c}}$ instead of the sender's address.

Step 2

Calculate the diversified transmission keys of all ZEOS wallet addresses involved (see section 5.4.1.6 of the Zcash Protocol Specification):

• ${{\mathsf{g}}_{\mathsf{d}}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}}=\mathsf{DiversifyHas}{\mathsf{h}}^{\mathsf{Orchard}}(\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d)$
• ${{\mathsf{g}}_{\mathsf{d}}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{b}}}=\mathsf{DiversifyHas}{\mathsf{h}}^{\mathsf{Orchard}}(\mathsf{not}{\mathsf{e}}_{\mathsf{b}}.d)$
• ${{\mathsf{g}}_{\mathsf{d}}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{c}}}=\mathsf{DiversifyHas}{\mathsf{h}}^{\mathsf{Orchard}}(\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.d)$

Step 3

Calculate the Commitment of all three UTXOs $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$, $\mathsf{not}{\mathsf{e}}_{\mathsf{b}}$ and $\mathsf{not}{\mathsf{e}}_{\mathsf{c}}$:

• $\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}}={\mathsf{NoteCommit}}_{\mathsf{rcm}}^{\mathsf{Orchard}}({{\mathsf{g}}_{\mathsf{d}}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}},\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.\mathsf{p}{\mathsf{k}}_{\mathsf{d}},\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d1,\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.\rho ,\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.\psi ,\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d2,\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.sc,\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.nft)$
• $\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{b}}}={\mathsf{NoteCommit}}_{\mathsf{rcm}}^{\mathsf{Orchard}}({{\mathsf{g}}_{\mathsf{d}}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{b}}},\mathsf{not}{\mathsf{e}}_{\mathsf{b}}.\mathsf{p}{\mathsf{k}}_{\mathsf{d}},\mathsf{not}{\mathsf{e}}_{\mathsf{b}}.d1,\mathsf{not}{\mathsf{e}}_{\mathsf{b}}.\rho ,\mathsf{not}{\mathsf{e}}_{\mathsf{b}}.\psi ,\mathsf{not}{\mathsf{e}}_{\mathsf{b}}.d2,\mathsf{not}{\mathsf{e}}_{\mathsf{b}}.sc,\mathsf{not}{\mathsf{e}}_{\mathsf{b}}.nft)$
• $\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{c}}}={\mathsf{NoteCommit}}_{\mathsf{rcm}}^{\mathsf{Orchard}}({{\mathsf{g}}_{\mathsf{d}}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{c}}},\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.\mathsf{p}{\mathsf{k}}_{\mathsf{d}},\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.d1,\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.\rho ,\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.\psi ,\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.d2,\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.sc,\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.nft)$

Step 4

Calculate the $\mathsf{root}$ of the Commitment Tree based on the sister path of $\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}}$.

Step 5

Calculate the Nullifier $\mathsf{n}{\mathsf{f}}_{\mathsf{a}}$ of $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$:

• $\mathsf{n}{\mathsf{f}}_{\mathsf{a}}=\mathsf{DeriveNullifie}{\mathsf{r}}_{\mathsf{nk}}(\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.\rho ,\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.\psi ,\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}})$

Step 6

Choose a random value ${\alpha }^{\prime }$ and calculate the Spend Authority $\mathsf{r}{\mathsf{k}}^{\prime }$ for this action (see section 4.17.4 of the Zcash Protocol Specification):

• ${\alpha }^{\prime }=$ Choose a random value
• $\mathsf{r}{\mathsf{k}}^{\prime }=\mathsf{SpendAuthSi}{\mathsf{g}}^{\mathsf{Orchard}}.RandomizePublic({\alpha }^{\prime },{\mathsf{ak}}^{\mathbb{P}})$

where $\mathsf{ak}$ is the Spend Validating Key of $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$ which is part of the Full Viewing Key.

Step 7

Set the private inputs $\omega$ of the arithmetic circuit:

• $\mathsf{path}=$ sister path of $\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}}$ in the Commitment Tree
• $\mathsf{pos}=$ leaf index of $\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}}$ in the Commitment Tree
• ${{\mathsf{g}}_{\mathsf{d}}}_a={{\mathsf{g}}_{\mathsf{d}}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}}$
• ${\mathsf{p}{\mathsf{k}}_{\mathsf{d}}}_a=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.\mathsf{p}{\mathsf{k}}_{\mathsf{d}}$
• ${d1}_a=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d1$
• ${d2}_a=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.d2$
• ${\rho }_a=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.\rho$
• ${\psi }_a=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.\psi$
• ${\mathsf{rcm}}_a=\mathsf{not}{\mathsf{e}}_{\mathsf{a}}.rcm$
• ${\mathsf{cm}}_a=\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{a}}}$
• $\alpha ={\alpha }^{\prime }$
• $\mathsf{ak}=$ Spend Validating Key of $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$ which is part of the Full Viewing Key
• $\mathsf{nk}=$ Nullifier Deriving Key of $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$ which is part of the Full Viewing Key
• $\mathsf{rivk}=$ ${\mathsf{Commit}}^{\mathsf{ivk}}$ Randomness of $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$ which is part of the Full Viewing Key
• ${{\mathsf{g}}_{\mathsf{d}}}_b={{\mathsf{g}}_{\mathsf{d}}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{b}}}$
• ${\mathsf{p}{\mathsf{k}}_{\mathsf{d}}}_b=\mathsf{not}{\mathsf{e}}_{\mathsf{b}}.\mathsf{p}{\mathsf{k}}_{\mathsf{d}}$
• ${d1}_b=\mathsf{not}{\mathsf{e}}_{\mathsf{b}}.d1$
• ${d2}_b=\mathsf{not}{\mathsf{e}}_{\mathsf{b}}.d2$
• ${\mathsf{sc}}_b=\mathsf{not}{\mathsf{e}}_{\mathsf{b}}.sc$
• ${\rho }_b=\mathsf{not}{\mathsf{e}}_{\mathsf{b}}.\rho$
• ${\psi }_b=\mathsf{not}{\mathsf{e}}_{\mathsf{b}}.\psi$
• ${\mathsf{rcm}}_b=\mathsf{not}{\mathsf{e}}_{\mathsf{b}}.rcm$
• ${\mathsf{acc}}_b=0$
• ${{\mathsf{g}}_{\mathsf{d}}}_c={{\mathsf{g}}_{\mathsf{d}}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{c}}}$
• ${\mathsf{p}{\mathsf{k}}_{\mathsf{d}}}_c=\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.\mathsf{p}{\mathsf{k}}_{\mathsf{d}}$
• ${d1}_c=\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.d1$
• ${\psi }_c=\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.\psi$
• ${\mathsf{rcm}}_c=\mathsf{not}{\mathsf{e}}_{\mathsf{c}}.rcm$
• ${\mathsf{acc}}_c=0$

Step 8

Set the public inputs $x$ of the arithmetic circuit:

• $\mathsf{ANCHOR}=\mathsf{root}$
• $\mathsf{NF}=\mathsf{n}{\mathsf{f}}_{\mathsf{a}}$
• ${\mathsf{RK}}_X={\mathsf{r}{\mathsf{k}}^{\prime }}_x$
• ${\mathsf{RK}}_Y={\mathsf{r}{\mathsf{k}}^{\prime }}_y$
• $\mathsf{NFT}=0$
• ${\mathsf{B}}_{d1}=0$
• ${\mathsf{B}}_{d2}=0$
• ${\mathsf{B}}_{sc}=0$
• ${\mathsf{C}}_{d1}=0$
• ${\mathsf{CM}}_B=\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{b}}}$
• ${\mathsf{CM}}_C=\mathsf{c}{\mathsf{m}}_{\mathsf{not}{\mathsf{e}}_{\mathsf{c}}}$
• ${\mathsf{ACC}}_B=0$
• ${\mathsf{ACC}}_C=0$

Step 9

Generate ${\pi }_{C_{zeos},\omega ,x}$ a proof of knowledge of satisfying arguments $(\omega ,x)$ so that $C_{zeos}(\omega ,x)=1$

The pair $({\pi }_{C_{zeos},\omega ,x},x)$ is the zk-SNARK which attests to knowledge of private inputs $\omega$ without revealing them.

Step 10

Generate UTXO ciphertexts ${\mathsf{not}{\mathsf{e}}_{\mathsf{b}}}_{\mathsf{enc}}$ of $\mathsf{not}{\mathsf{e}}_{\mathsf{b}}$ and ${\mathsf{not}{\mathsf{e}}_{\mathsf{c}}}_{\mathsf{enc}}$ of $\mathsf{not}{\mathsf{e}}_{\mathsf{c}}$ for the receivers of the UTXOs (see section 4.19.1 of the Zcash Protocol Specification)

Step 11

Execute the TRANSFERFT action of the ZEOS smart contract. This action takes the following arguments:

• ${\pi }_{C_{zeos},\omega ,x}$: The zero knowledge proof of satisfying arguments $(\omega ,x)$
• $x$: The public inputs of the zero knowledge proof ${\pi }_{C_{zeos},\omega ,x}$
• ${\mathsf{not}{\mathsf{e}}_{\mathsf{b}}}_{\mathsf{enc}}$: The UTXO ciphertext which is transmitted to the receiver of $\mathsf{not}{\mathsf{e}}_{\mathsf{b}}$
• ${\mathsf{not}{\mathsf{e}}_{\mathsf{c}}}_{\mathsf{enc}}$: The UTXO ciphertext which is transmitted to the receiver of $\mathsf{not}{\mathsf{e}}_{\mathsf{c}}$

The ZEOS smart contract then performs the following checks:

• Is the zero knowledge proof ${\pi }_{C_{zeos},\omega ,x}$ valid?
• Is the NFT flag unset ($x.\mathsf{NFT}=0$)?

Step 12

If $\mathsf{true}$, the ZEOS smart contract performs the following operations:

• Add $x.\mathsf{NF}$, the nullifier of $\mathsf{not}{\mathsf{e}}_{\mathsf{a}}$ to the Nullifier Set
• Add $x.\mathsf{C}{\mathsf{M}}_{\mathsf{B}}$, the note commitment of $\mathsf{not}{\mathsf{e}}_{\mathsf{b}}$, to the next free leaf of the Commitment Tree
• Add $x.\mathsf{C}{\mathsf{M}}_{\mathsf{C}}$, the note commitment of $\mathsf{not}{\mathsf{e}}_{\mathsf{c}}$, to the next free leaf of the Commitment Tree
• Add the new root of the Commitment Tree to the Commitment Tree Root Set
• Add ciphertext ${\mathsf{not}{\mathsf{e}}_{\mathsf{b}}}_{\mathsf{enc}}$ to the Transmitted UTXO Ciphertext List
• Add ciphertext ${\mathsf{not}{\mathsf{e}}_{\mathsf{c}}}_{\mathsf{enc}}$ to the Transmitted UTXO Ciphertext List

If $\mathsf{false}$, cancel execution.