Hinkal Dibobol Rp13 Miliar: Celah Zero-Knowledge Proof Habiskan Hampir Seluruh Dana Privasi

Alamat peretas (0xbB3...fc20) melakukan "Deposit Tanpa Bukti" (Proofless Deposit)—sebuah setoran tanpa bukti zero-knowledge yang valid—dan kemudian menjalankan beberapa aksi "Transact" untuk menarik sekitar $820.000 USDC dari kontrak Hinkal .

Ini menunjukkan adanya cacat logika verifikasi ZK-proof pada kontrak pintar: kontrak menerima instruksi setoran dan penarikan tanpa memvalidasi bukti kriptografi dengan benar, sehingga secara efektif memungkinkan peretas memalsukan permintaan penarikan .

Penelitian sebelumnya telah mengidentifikasi risiko terkait. Audit zkSecurity pada sirkuit Hinkal mencatat potensi masalah pengeluaran ganda (double-spending) melalui cacat nullifier dan validasi kunci privat yang tidak memadai . Audit Quantstamp juga menyoroti masalah informasional tentang simpul daun kosong yang dipetakan ke komitmen non-nol, meskipun protokol telah mengakui masalah tersebut sebelum eksploitasi . Temuan-temuan ini, dikombinasikan dengan eksploitasi langsung, menggarisbawahi kesenjangan antara temuan audit teoretis dan kerentanan yang dapat dieksploitasi di rantai.

Pencucian Dana

Setelah eksploitasi, peretas menukar USDC curian menjadi Ether dan memindahkan dana melalui Tornado Cash dan THORChain untuk mengaburkan jejak . Data on-chain menunjukkan 410 ETH (~$700.000) disetorkan ke Tornado Cash, dan 44,7 ETH lainnya dijembatani (bridged) dari Ethereum ke alamat Bitcoin melalui THORChain .

Perusahaan Keamanan yang Mengonfirmasi Insiden

• CertiK adalah yang pertama menandai serangan ini melalui sistem peringatan on-chain-nya, melaporkan transaksi mencurigakan dan perkiraan kerugian $800.000 .
• PeckShieldAlert mengonfirmasi eksploitasi dan angka perkiraan $820.000 .
• Peneliti keamanan independen Specter juga secara terbuka menandai insiden ini, dan berbagai media memberitakan pelanggaran ini .

Pada saat pelaporan, Hinkal belum merilis postmortem yang dikonfirmasi, rincian transaksi eksploitasi, atau penjelasan akar masalah .

Konteks Keamanan DeFi yang Lebih Luas pada 2026

Eksploitasi Hinkal adalah salah satu insiden dalam gelombang besar peretasan kripto pada 2026. Menurut TRM Labs, paruh pertama 2026 adalah periode enam bulan paling banyak diretas yang pernah tercatat berdasarkan jumlah insiden: 207 peretasan terpisah di seluruh kripto, meskipun total kerugian $972 juta kurang dari setengah dari $2,3 miliar yang dicuri pada paruh pertama 2025 . Jumlah serangan melonjak dramatis .

Kelompok peretas yang terkait dengan Korea Utara saja mencurai $643 juta pada paruh pertama 2026, menyumbang sekitar dua pertiga dari total pencurian kripto global . Kuartal kedua 2026 (~$746 juta dicuri dalam sekitar 70 eksploitasi) mencatat rekor sebagai kuartal paling banyak diretas dalam sejarah DeFi berdasarkan volume insiden . Total nilai terkunci (TVL) DeFi turun dari sekitar $115 miliar pada Januari 2026 menjadi sekitar $70 miliar pada akhir Juni, sebagian didorong oleh gelombang peretasan yang tak henti-hentinya .

Apa Artinya bagi Protokol Berbasis ZK

Eksploitasi Hinkal adalah contoh klasik dari bug logika verifikasi ZK—sebuah tipe kerentanan yang semakin mahal seiring semakin banyaknya protokol yang mengadopsi zero-knowledge proofs untuk privasi dan penskalaan . Tidak seperti bug kontrak pintar tradisional, cacat sirkuit ZK merusak asumsi keamanan fundamental bahwa bukti matematis tidak dapat dipalsukan . Ketika verifier circuit salah konfigurasi, itu tidak hanya menciptakan eksploitasi—tetapi menciptakan cara yang valid secara matematis untuk berbohong kepada protokol . Bagi para pengembang, pelajarannya adalah bahwa logika verifikasi ZK memerlukan audit khusus di luar review kontrak pintar standar, dan bahwa bahkan protokol dengan beberapa audit sebelumnya pun dapat menyembunyikan celah bypass yang kritis .