Hinkal משתמש בטכנולוגיית zkSNARKs כדי לאפשר למשתמשים להפקיד, להחליף ולמשוך נכסים באופן פרטי. הפקדות נרשמות כהתחייבויות בעץ-מרקל (Merkle tree) על הרשת, ומשיכות דורשות הוכחת אפס-ידע תקפה . כתובת ההאקר (0xbB3...fc20) ביצעה 'הפקדה ללא הוכחה' – הפקדה ללא הוכחת אפס-ידע תקפה – ולאחר מכן ביצעה פעולות 'Transact' חוזרות שמשכו כ-820,000 דולר ב-USDC מחוזה Hinkal . הדבר מעיד על כשל בלוגיקת אימות ה-ZK בחוזה החכם: החוזה קיבל הוראות הפקדה ומשיכה ללא אימות קריפטוגרפי תקין של ההוכחה, ובכך אפשר להאקר לזייף בקשות משיכה .
מחקר קודם זיהה סיכונים דומים. ביקורת של zkSecurity על המעגלים של Hinkal ציינה בעיות פוטנציאליות של שימוש כפול (double-spending) דרך פגמים במודולי nullifier ואימות לא מספק של מפתח פרטי . ביקורת של Quantstamp סימנה חששות מידעניים לגבי צמתי עלה ריקים שמופו להתחייבויות שאינן אפס, אם כי הפרוטוקול הכיר בבעיה לפני הפריצה . ממצאים אלה, יחד עם הפריצה עצמה, מדגישים את הפער בין ממצאי ביקורת תיאורטיים לפגיעויות ניתנות לניצול בשרשרת.
לאחר הפריצה, ההאקר המיר את מטבעי ה-USDC הגנובים לאתר' והעביר כספים דרך Tornado Cash ו-THORChain כדי לטשטש את העקבות . נתוני השרשרת מראים ש-410 ETH (כ-700,000 דולר) הופקדו ב-Tornado Cash, ו-44.7 ETH נוספים הועברו מ-Ethereum לכתובת ביטקוין דרך THORChain .
נכון למועד הדיווח, Hinkal לא פרסמה תחקיר רשמי או הסבר סופי לשורש הבעיה .
פריצת Hinkal היא אירוע אחד בגל ענק של פריצות קריפטו ב-2026. על פי TRM Labs, המחצית הראשונה של 2026 הייתה תקופת ששת החודשים המופרת ביותר בהיסטוריה מבחינת מספר האירועים: 207 פריצות נפרדות בתחום הקריפטו, אם כי סך ההפסדים של 972 מיליון דולר נמוך מחצי מה-2.3 מיליארד דולר שנגנבו במחצית הראשונה של 2025 . מספר ההתקפות עלה בצורה חדה .
קבוצות האקרים הקשורות לצפון קוריאה בלבד גנבו 643 מיליון דולר במחצית הראשונה של 2026, כשלושה רבעים מהגניבה העולמית בתחום הקריפטו . הרבעון השני של 2026 (כ-746 מיליון דולר שנגנבו בכ-70 פריצות) קבע שיא רבעוני למספר הפריצות בתולדות ה-DeFi . הערך הכולל הנעול ב-DeFi צנח מ-115 מיליארד דולר בינואר 2026 לכ-70 מיליארד דולר בסוף יוני, בין היתר בגלל גל הפריצות הבלתי פוסק .
פריצת Hinkal היא דוגמה מובהקת לבאג בלוגיקת אימות הוכחת אפס-ידע – סוג פגיעות שהופך ליקר יותר ככל שפרוטוקולים נוספים מאמצים הוכחות אפס-ידע לפרטיות ולסקיילביליות . בניגוד לבאגים רגילים בחוזה חכם, פגמים במעגלי ZK שוברים את הנחת היסוד הביטחונית שהוכחות מתמטיות אינן ניתנות לזיוף . כאשר מעגל מוודה (verifier circuit) מוגדר שגוי, הוא לא רק יוצר ניצול – הוא יוצר דרך תקפה מתמטית לשקר לפרוטוקול . עבור מתכנתים, הלקח הוא שלוגיקת אימות ZK דורשת ביקורת מתמחה מעבר לבדיקות חוזה חכם סטנדרטיות, ושגם פרוטוקולים עם ביקורות מרובות יכולים להכיל פגמי עקיפה קריטיים .