פרצת ZK מוחקת 820 אלף דולר מפרוטוקול הפרטיות Hinkal

ב-3 ביולי 2026 נוצל פרוטוקול Hinkal, פרוטוקול פרטיות מבוסס הוכחת אפס-ידע (ZKP) הפועל על Ethereum, Base ו-Arbitrum. ההאקר רוקן כ-820,000 דולר ב-USDC – כמעט כל הערך הכולל הנעול בפרוטוקול – על ידי עקיפת אימות הוכחת ה-ZK בחוזה החכם . הכספים הגנובים הועברו במהירות דרך Tornado Cash ו-THORChain . אירוע זה הוא חלק מגל שיא של פריצות DeFi ב-2026, שבמחצית הראשונה של השנה אבדו למעלה מ-972 מיליון דולר ב-207 אירועים נפרדים .

כיצד פעלה ההתקפה

Hinkal משתמש בטכנולוגיית zkSNARKs כדי לאפשר למשתמשים להפקיד, להחליף ולמשוך נכסים באופן פרטי. הפקדות נרשמות כהתחייבויות בעץ-מרקל (Merkle tree) על הרשת, ומשיכות דורשות הוכחת אפס-ידע תקפה . כתובת ההאקר (0xbB3...fc20) ביצעה 'הפקדה ללא הוכחה' – הפקדה ללא הוכחת אפס-ידע תקפה – ולאחר מכן ביצעה פעולות 'Transact' חוזרות שמשכו כ-820,000 דולר ב-USDC מחוזה Hinkal . הדבר מעיד על כשל בלוגיקת אימות ה-ZK בחוזה החכם: החוזה קיבל הוראות הפקדה ומשיכה ללא אימות קריפטוגרפי תקין של ההוכחה, ובכך אפשר להאקר לזייף בקשות משיכה .

מחקר קודם זיהה סיכונים דומים. ביקורת של zkSecurity על המעגלים של Hinkal ציינה בעיות פוטנציאליות של שימוש כפול (double-spending) דרך פגמים במודולי nullifier ואימות לא מספק של מפתח פרטי . ביקורת של Quantstamp סימנה חששות מידעניים לגבי צמתי עלה ריקים שמופו להתחייבויות שאינן אפס, אם כי הפרוטוקול הכיר בבעיה לפני הפריצה . ממצאים אלה, יחד עם הפריצה עצמה, מדגישים את הפער בין ממצאי ביקורת תיאורטיים לפגיעויות ניתנות לניצול בשרשרת.

הלבנת הכספים

לאחר הפריצה, ההאקר המיר את מטבעי ה-USDC הגנובים לאתר' והעביר כספים דרך Tornado Cash ו-THORChain כדי לטשטש את העקבות . נתוני השרשרת מראים ש-410 ETH (כ-700,000 דולר) הופקדו ב-Tornado Cash, ו-44.7 ETH נוספים הועברו מ-Ethereum לכתובת ביטקוין דרך THORChain .

חברות האבטחה שאישרו את האירוע

• CertiK זיהתה את ההתקפה ראשונה באמצעות מערכת ההתרעות שלה בשרשרת, ודיווחה על עסקאות חשודות ועל אובדן מוערך של 800,000 דולר .
• PeckShieldAlert אישרה את הפריצה והעריכה את הנזק ב-820,000 דולר .
• חוקר האבטחה העצמאי Specter גם הוא סימן את האירוע בפומבי .

נכון למועד הדיווח, Hinkal לא פרסמה תחקיר רשמי או הסבר סופי לשורש הבעיה .

ההקשר הרחב של אבטחת DeFi ב-2026

פריצת Hinkal היא אירוע אחד בגל ענק של פריצות קריפטו ב-2026. על פי TRM Labs, המחצית הראשונה של 2026 הייתה תקופת ששת החודשים המופרת ביותר בהיסטוריה מבחינת מספר האירועים: 207 פריצות נפרדות בתחום הקריפטו, אם כי סך ההפסדים של 972 מיליון דולר נמוך מחצי מה-2.3 מיליארד דולר שנגנבו במחצית הראשונה של 2025 . מספר ההתקפות עלה בצורה חדה .

קבוצות האקרים הקשורות לצפון קוריאה בלבד גנבו 643 מיליון דולר במחצית הראשונה של 2026, כשלושה רבעים מהגניבה העולמית בתחום הקריפטו . הרבעון השני של 2026 (כ-746 מיליון דולר שנגנבו בכ-70 פריצות) קבע שיא רבעוני למספר הפריצות בתולדות ה-DeFi . הערך הכולל הנעול ב-DeFi צנח מ-115 מיליארד דולר בינואר 2026 לכ-70 מיליארד דולר בסוף יוני, בין היתר בגלל גל הפריצות הבלתי פוסק .

מה זה אומר עבור פרוטוקולים מבוססי ZK

פריצת Hinkal היא דוגמה מובהקת לבאג בלוגיקת אימות הוכחת אפס-ידע – סוג פגיעות שהופך ליקר יותר ככל שפרוטוקולים נוספים מאמצים הוכחות אפס-ידע לפרטיות ולסקיילביליות . בניגוד לבאגים רגילים בחוזה חכם, פגמים במעגלי ZK שוברים את הנחת היסוד הביטחונית שהוכחות מתמטיות אינן ניתנות לזיוף . כאשר מעגל מוודה (verifier circuit) מוגדר שגוי, הוא לא רק יוצר ניצול – הוא יוצר דרך תקפה מתמטית לשקר לפרוטוקול . עבור מתכנתים, הלקח הוא שלוגיקת אימות ZK דורשת ביקורת מתמחה מעבר לבדיקות חוזה חכם סטנדרטיות, ושגם פרוטוקולים עם ביקורות מרובות יכולים להכיל פגמי עקיפה קריטיים .