L'exploit Hinkal à 820 000 $ : un contournement de preuve à connaissance zéro vide un protocole de confidentialité

Le 3 juillet 2026, un attaquant a exploité Hinkal, un protocole de confidentialité basé sur la preuve à connaissance zéro (ZK) opérant sur Ethereum, Base et Arbitrum, drainant environ 820 000 $ en USDC — soit la quasi-totalité de la valeur totale verrouillée du protocole — en contournant la vérification de la preuve ZK dans son contrat intelligent . Les fonds volés ont été rapidement blanchis via Tornado Cash et THORChain . Cet incident s'inscrit dans une vague record de piratages DeFi en 2026, avec plus de 972 millions de dollars perdus lors de 207 incidents au premier semestre .

Comment l'exploit a fonctionné

Hinkal utilise les zkSNARK pour permettre aux utilisateurs de déposer, d'échanger et de retirer des actifs de manière privée, les dépôts étant engagés dans un arbre de Merkle on-chain et les retraits nécessitant une preuve à connaissance zéro valide . L'adresse de l'attaquant (0xbB3...fc20) a effectué un « dépôt sans preuve » — un dépôt sans preuve à connaissance zéro valide — puis a exécuté plusieurs actions « Transact » pour retirer environ 820 000 $ en USDC du contrat Hinkal . Cela indique une faille de logique de vérification de la preuve ZK dans le contrat intelligent : le contrat acceptait les instructions de dépôt et de retrait sans valider correctement la preuve cryptographique, permettant ainsi à l'attaquant de forger des demandes de retrait .

Des recherches antérieures avaient identifié des risques connexes. Un audit de zkSecurity sur les circuits de Hinkal a noté des problèmes potentiels de double dépense via des failles de nullificateur et une validation inadéquate de la clé privée . L'audit de Quantstamp a signalé des préoccupations d'ordre informatif concernant le mappage de nœuds de feuilles vides à des engagements non nuls, bien que le protocole ait reconnu le problème avant l'exploit . Ces résultats, combinés à l'exploit en direct, soulignent l'écart entre les conclusions d'audit théoriques et les vulnérabilités exploitables on-chain.

Blanchiment des fonds

Après l'exploit, l'attaquant a converti les USDC volés en Ether et a déplacé les fonds via Tornado Cash et THORChain pour brouiller les pistes . Les données on-chain montrent que 410 ETH (~700 000 $) ont été déposés dans Tornado Cash, et 44,7 ETH supplémentaires ont été pontés d'Ethereum vers une adresse Bitcoin via THORChain .

Sociétés de sécurité ayant confirmé l'incident

• CertiK a signalé l'attaque en premier via son système d'alerte on-chain, rapportant les transactions suspectes et une perte estimée à 800 000 $ .
• PeckShieldAlert a confirmé l'exploit et le chiffre estimé de 820 000 $ .
• Le chercheur en sécurité indépendant Specter a également signalé publiquement l'incident, et les médias ont largement rapporté la brèche .

Au moment du rapport, Hinkal n'avait pas publié de post-mortem confirmé, de répartition des transactions d'exploitation ou d'explication de la cause première .

Contexte plus large de la sécurité DeFi en 2026

L'exploit de Hinkal est un incident parmi d'autres dans une vague plus large de piratages cryptographiques en 2026. Selon TRM Labs, le premier semestre 2026 a été la période de six mois la plus piratée jamais enregistrée en nombre d'incidents : 207 piratages distincts dans le secteur des cryptomonnaies, bien que les pertes totales de 972 millions de dollars soient inférieures à la moitié des 2,3 milliards de dollars volés au premier semestre 2025 . Le nombre d'attaques a considérablement augmenté .

Les groupes de pirates liés à la Corée du Nord ont à eux seuls volé 643 millions de dollars au premier semestre 2026, représentant environ les deux tiers du vol total de crypto-monnaies dans le monde . Le deuxième trimestre 2026 (~746 millions de dollars volés lors d'environ 70 exploits) a établi le record du trimestre le plus piraté de l'histoire de la DeFi en termes de volume d'incidents . La valeur totale verrouillée (TVL) de la DeFi est passée d'environ 115 milliards de dollars en janvier 2026 à environ 70 milliards de dollars à la fin juin, en partie à cause de la vague incessante de piratages .

Ce que cela signifie pour les protocoles basés sur ZK

L'exploit de Hinkal est un exemple typique d'un bogue de logique de vérification ZK — un type de vulnérabilité qui devient de plus en plus coûteux à mesure que de plus en plus de protocoles adoptent les preuves à connaissance zéro pour la confidentialité et le passage à l'échelle . Contrairement aux bogues de contrats intelligents traditionnels, les défauts de circuit ZK brisent l'hypothèse de sécurité fondamentale selon laquelle les preuves mathématiques sont infalsifiables . Lorsqu'un circuit de vérificateur est mal configuré, cela ne crée pas seulement une exploitation — cela crée un moyen mathématiquement valable de mentir au protocole . Pour les développeurs, la leçon est que la logique de vérification ZK nécessite un audit spécialisé au-delà des examens de contrats intelligents standard, et que même les protocoles avec plusieurs audits préalables peuvent héberger des failles de contournement critiques .