Hinkal-hacket: $820.000 forsvandt i et zero-knowledge proof-bypass

Sådan fungerede udnyttelsen

Hinkal bruger zkSNARKs til at lade brugere indsætte, bytte og hæve aktiver privat. Indbetalinger registreres i et on-chain Merkle-træ, og hævninger kræver et gyldigt zero-knowledge proof . Hackerens adresse (0xbB3...fc20) udførte et 'Proofless Deposit' – en indbetaling uden et gyldigt zero-knowledge proof – og gennemførte derefter flere 'Transact'-handlinger, der hævede cirka $820.000 i USDC fra Hinkal-kontrakten . Dette peger på en logisk fejl i ZK-proof-verifikationen: Kontrakten accepterede indbetalings- og hæveinstrukser uden at validere det kryptografiske bevis korrekt, hvilket effektivt lod hackeren forfalske hæveanmodninger .

Tidligere forskning havde identificeret relaterede risici. En zkSecurity-revision af Hinkals kredsløb noterede potentielle problemer med dobbeltforbrug via nullifier-fejl og utilstrækkelig privat nøglevalidering . Quantstamps revision påpegede bekymringer af informativ karakter om tomme knudepunkter, der kortlagde til ikke-nul-forpligtelser, selvom protokollen anerkendte problemet før udnyttelsen . Disse resultater kombineret med det faktiske angreb understreger kløften mellem teoretiske revisionsresultater og udnyttelige on-chain-sårbarheder.

Hvidvaskning af midler

Efter angrebet konverterede hackeren de stjålne USDC til Ether og flyttede midlerne gennem Tornado Cash og THORChain for at sløre sporet . On-chain-data viser, at 410 ETH (~$700.000) blev indsat i Tornado Cash, og yderligere 44,7 ETH blev broet fra Ethereum til en Bitcoin-adresse via THORChain .

Sikkerhedsfirmaer, der bekræftede hændelsen

• CertiK var først til at markere angrebet via sit on-chain-alarmsystem og rapporterede de mistænkelige transaktioner og et estimeret tab på $800.000 .
• PeckShieldAlert bekræftede udnyttelsen og det estimerede beløb på $820.000 .
• Den uafhængige sikkerhedsforsker Specter offentliggjorde også hændelsen, og nyhedsmedier rapporterede bredt om bruddet .

På rapporteringstidspunktet havde Hinkal ikke udsendt en bekræftet postmortem, transaktionsnedbrydning eller rodårsagsforklaring .

Bredere DeFi-sikkerhedskontekst i 2026

Hinkal-udnyttelsen er en enkelt hændelse i en bredere stigning i krypto-hacks i 2026. Ifølge TRM Labs var H1 2026 den mest hackede seksmånedersperiode nogensinde målt på antal hændelser: 207 separate hacks på tværs af krypto, selvom de samlede tab på $972 millioner var mindre end halvdelen af de $2,3 milliarder, der blev stjålet i H1 2025 . Antallet af angreb steg dramatisk .

Nordkorea-tilknyttede hackergrupper alene stjal $643 millioner i H1 2026, hvilket udgør omtrent to tredjedele af det globale kryptotyveri . Q2 2026 (~$746 millioner stjålet på tværs af ~70 udnyttelser) satte rekord for det mest hackede kvartal i DeFi's historie målt på antal hændelser . DeFis samlede indlåste værdi faldt fra omkring $115 milliarder i januar 2026 til omkring $70 milliarder ved udgangen af juni, delvist drevet af den ubønhørlige hackerbølge .

Hvad dette betyder for ZK-baserede protokoller

Hinkal-udnyttelsen er et lærebogseksempel på en ZK-verifikationslogikfejl – en sårbarhedstype, der bliver stadig dyrere, efterhånden som flere protokoller tager zero-knowledge proofs i brug til privatliv og skalering . I modsætning til traditionelle smartcontract-bugs bryder ZK-kredsløbsfejl den fundamentale sikkerhedsantagelse om, at matematiske beviser er uforfalskelige . Når et verifikationskredsløb er forkert konfigureret, skaber det ikke bare en udnyttelse – det skaber en matematisk gyldig måde at lyve for protokollen på . For udviklere er lektionen, at ZK-verifikationslogik kræver specialiseret revision ud over standard smartcontract-gennemgange, og at selv protokoller med flere tidligere revisioner kan have kritiske omgåelsesfejl .