हिंकल प्रोटोकॉल हैक: $820,000 की चोरी, ZK-प्रूफ बाईपास से प्राइवेसी प्रोटोकॉल खाली

कैसे हुआ हमला?

हिंकल प्रोटोकॉल zkSNARKs का उपयोग करता है, जिससे यूज़र प्राइवेट तरीके से एसेट जमा, स्वैप और निकाल सकते हैं। जमा करने पर एक कमिटमेंट ऑन-चेन Merkle ट्री में सेव होता है, और निकासी के लिए एक वैलिड जीरो-नॉलेज प्रूफ देना होता है । हैकर के वॉलेट (0xbB3...fc20) ने "प्रूफलेस डिपॉजिट" किया — बिना किसी वैध जीरो-नॉलेज प्रूफ के जमा — और फिर कई "ट्रांजैक्ट" कार्रवाइयां करके हिंकल कॉन्ट्रैक्ट से लगभग $820,000 का USDC निकाल लिया । इससे पता चलता है कि स्मार्ट कॉन्ट्रैक्ट में ZK प्रूफ वेरिफिकेशन लॉजिक में खामी थी: कॉन्ट्रैक्ट ने क्रिप्टोग्राफिक प्रूफ को ठीक से वेरिफाई किए बिना ही जमा और निकासी के निर्देशों को स्वीकार कर लिया ।

इससे पहले हुए ऑडिट में भी इस तरह के जोखिमों की ओर इशारा किया गया था। zkSecurity ऑडिट ने नलिफ़ायर में खामियों और प्राइवेट की वैलिडेशन की कमी जैसे मुद्दे उठाए थे । Quantstamp ऑडिट ने खाली लीफ नोड्स के नॉन-ज़ीरो कमिटमेंट से मैप होने जैसी सूचनात्मक चिंताओं को भी फ्लैग किया था । लाइव एक्सप्लॉइट के साथ ये निष्कर्ष इस बात को रेखांकित करते हैं कि सैद्धांतिक ऑडिट निष्कर्षों और वास्तविक, एक्सप्लॉइटेबल ऑन-चेन कमजोरियों के बीच कितना बड़ा अंतर हो सकता है।

फंड की लॉन्ड्रिंग

एक्सप्लॉइट के बाद, हैकर ने चुराए गए USDC को Ether में बदला और पैसे के निशान को मिटाने के लिए Tornado Cash और THORChain के जरिए फंड ट्रांसफर किया । ऑन-चेन डेटा के अनुसार, 410 ETH (~$700,000) को Tornado Cash में डिपॉजिट किया गया, और अन्य 44.7 ETH को Ethereum से एक Bitcoin एड्रेस पर THORChain के जरिए ब्रिज किया गया ।

किन सुरक्षा फर्मों ने हमले की पुष्टि की?

• CertiK ने अपने ऑन-चेन अलर्ट सिस्टम के जरिए सबसे पहले हमले का पता लगाया और लगभग $800,000 के नुकसान की सूचना दी ।
• PeckShieldAlert ने हमले और $820,000 के आंकड़े की पुष्टि की ।
• स्वतंत्र सुरक्षा रिसर्चर Specter ने भी इस घटना को सार्वजनिक रूप से फ्लैग किया, और कई समाचार आउटलेट्स ने इस ब्रीच की खबर दी ।

रिपोर्टिंग के समय तक, हिंकल प्रोटोकॉल की ओर से कोई पुष्ट पोस्टमार्टम, एक्सप्लॉइट ट्रांजैक्शन ब्रेकडाउन या रूट-कॉज स्पष्टीकरण जारी नहीं किया गया था ।

2026 में DeFi सुरक्षा का बड़ा चित्र

हिंकल एक्सप्लॉइट 2026 में क्रिप्टो हैक्स की बढ़ती लहर की एक घटना मात्र है। TRM Labs के अनुसार, H1 2026 घटनाओं की संख्या के हिसाब से अब तक का सबसे अधिक हैक किया गया छह महीने का समय था: क्रिप्टो में 207 अलग-अलग हैक, हालांकि कुल नुकसान $972 मिलियन था, जो H1 2025 में चुराए गए $2.3 बिलियन के आधे से भी कम था । हमलों की संख्या में भारी उछाल आया ।

उत्तर कोरिया से जुड़े हैकर ग्रुप ने अकेले H1 2026 में $643 मिलियन चुराए, जो वैश्विक क्रिप्टो चोरी का लगभग दो-तिहाई हिस्सा है । Q2 2026 (~70 एक्सप्लॉइट्स में ~$746 मिलियन की चोरी) ने DeFi इतिहास में घटनाओं की संख्या के हिसाब से सबसे अधिक हैक किए गए क्वार्टर का रिकॉर्ड बनाया । DeFi का कुल लॉक किया गया मूल्य (TVL) जनवरी 2026 में ~$115 बिलियन से गिरकर जून के अंत तक ~$70 बिलियन हो गया, जिसका एक कारण हैक्स की यह लगातार लहर भी थी ।

ZK-आधारित प्रोटोकॉल के लिए इसका क्या मतलब है?

हिंकल एक्सप्लॉइट ZK वेरिफिकेशन लॉजिक बग का एक क्लासिक उदाहरण है — एक ऐसी कमजोरी जो तेजी से महंगी साबित हो रही है क्योंकि अधिक से अधिक प्रोटोकॉल प्राइवेसी और स्केलिंग के लिए जीरो-नॉलेज प्रूफ अपना रहे हैं । पारंपरिक स्मार्ट कॉन्ट्रैक्ट बग के विपरीत, ZK सर्किट खामियां मूलभूत सुरक्षा धारणा को तोड़ती हैं कि गणितीय प्रूफ जाली नहीं बनाए जा सकते । जब वेरिफायर सर्किट गलत तरीके से कॉन्फ़िगर किया जाता है, तो यह सिर्फ एक एक्सप्लॉइट नहीं बनाता — यह प्रोटोकॉल से झूठ बोलने का गणितीय रूप से वैध तरीका बना देता है । डेवलपर्स के लिए सबक यह है कि ZK वेरिफिकेशन लॉजिक को मानक स्मार्ट कॉन्ट्रैक्ट रिव्यू से परे विशेष ऑडिटिंग की आवश्यकता होती है, और कई पूर्व ऑडिट वाले प्रोटोकॉल में भी गंभीर बाइपास खामियां हो सकती हैं ।