Hinkal Dibobol Rp13 Miliar: Celah Zero-Knowledge Proof Habiskan Hampir Seluruh Dana Privasi

Pada 3 Juli 2026, seorang peretas mengeksploitasi Hinkal, sebuah protokol privasi berbasis zero-knowledge proof (ZK-proof) yang beroperasi di Ethereum, Base, dan Arbitrum. Peretas menguras sekitar $820.000 dalam USDC—hampir seluruh total nilai terkunci (TVL) protokol—dengan melewati verifikasi ZK-proof pada kontrak pintarnya . Dana curian dengan cepat dicuci melalui Tornado Cash dan THORChain . Insiden ini menjadi bagian dari gelombang rekor peretasan DeFi pada 2026, di mana lebih dari $972 juta hilang dalam 207 insiden selama paruh pertama tahun ini .

Cara Kerja Eksploitasi

Hinkal menggunakan zkSNARKs untuk memungkinkan pengguna menyetor, menukar, dan menarik aset secara pribadi. Setoran (deposit) dicatat dalam pohon Merkle di rantai (on-chain), sementara penarikan memerlukan bukti zero-knowledge yang valid .

Alamat peretas (0xbB3...fc20) melakukan "Deposit Tanpa Bukti" (Proofless Deposit)—sebuah setoran tanpa bukti zero-knowledge yang valid—dan kemudian menjalankan beberapa aksi "Transact" untuk menarik sekitar $820.000 USDC dari kontrak Hinkal .

Ini menunjukkan adanya cacat logika verifikasi ZK-proof pada kontrak pintar: kontrak menerima instruksi setoran dan penarikan tanpa memvalidasi bukti kriptografi dengan benar, sehingga secara efektif memungkinkan peretas memalsukan permintaan penarikan .

Penelitian sebelumnya telah mengidentifikasi risiko terkait. Audit zkSecurity pada sirkuit Hinkal mencatat potensi masalah pengeluaran ganda (double-spending) melalui cacat nullifier dan validasi kunci privat yang tidak memadai . Audit Quantstamp juga menyoroti masalah informasional tentang simpul daun kosong yang dipetakan ke komitmen non-nol, meskipun protokol telah mengakui masalah tersebut sebelum eksploitasi . Temuan-temuan ini, dikombinasikan dengan eksploitasi langsung, menggarisbawahi kesenjangan antara temuan audit teoretis dan kerentanan yang dapat dieksploitasi di rantai.

Pencucian Dana

Setelah eksploitasi, peretas menukar USDC curian menjadi Ether dan memindahkan dana melalui Tornado Cash dan THORChain untuk mengaburkan jejak . Data on-chain menunjukkan 410 ETH (~$700.000) disetorkan ke Tornado Cash, dan 44,7 ETH lainnya dijembatani (bridged) dari Ethereum ke alamat Bitcoin melalui THORChain .

Perusahaan Keamanan yang Mengonfirmasi Insiden

• CertiK adalah yang pertama menandai serangan ini melalui sistem peringatan on-chain-nya, melaporkan transaksi mencurigakan dan perkiraan kerugian $800.000 .
• PeckShieldAlert mengonfirmasi eksploitasi dan angka perkiraan $820.000 .
• Peneliti keamanan independen Specter juga secara terbuka menandai insiden ini, dan berbagai media memberitakan pelanggaran ini .

Pada saat pelaporan, Hinkal belum merilis postmortem yang dikonfirmasi, rincian transaksi eksploitasi, atau penjelasan akar masalah .

Konteks Keamanan DeFi yang Lebih Luas pada 2026

Eksploitasi Hinkal adalah salah satu insiden dalam gelombang besar peretasan kripto pada 2026. Menurut TRM Labs, paruh pertama 2026 adalah periode enam bulan paling banyak diretas yang pernah tercatat berdasarkan jumlah insiden: 207 peretasan terpisah di seluruh kripto, meskipun total kerugian $972 juta kurang dari setengah dari $2,3 miliar yang dicuri pada paruh pertama 2025 . Jumlah serangan melonjak dramatis .

Kelompok peretas yang terkait dengan Korea Utara saja mencurai $643 juta pada paruh pertama 2026, menyumbang sekitar dua pertiga dari total pencurian kripto global . Kuartal kedua 2026 (~$746 juta dicuri dalam sekitar 70 eksploitasi) mencatat rekor sebagai kuartal paling banyak diretas dalam sejarah DeFi berdasarkan volume insiden . Total nilai terkunci (TVL) DeFi turun dari sekitar $115 miliar pada Januari 2026 menjadi sekitar $70 miliar pada akhir Juni, sebagian didorong oleh gelombang peretasan yang tak henti-hentinya .

Apa Artinya bagi Protokol Berbasis ZK

Eksploitasi Hinkal adalah contoh klasik dari bug logika verifikasi ZK—sebuah tipe kerentanan yang semakin mahal seiring semakin banyaknya protokol yang mengadopsi zero-knowledge proofs untuk privasi dan penskalaan . Tidak seperti bug kontrak pintar tradisional, cacat sirkuit ZK merusak asumsi keamanan fundamental bahwa bukti matematis tidak dapat dipalsukan . Ketika verifier circuit salah konfigurasi, itu tidak hanya menciptakan eksploitasi—tetapi menciptakan cara yang valid secara matematis untuk berbohong kepada protokol . Bagi para pengembang, pelajarannya adalah bahwa logika verifikasi ZK memerlukan audit khusus di luar review kontrak pintar standar, dan bahwa bahkan protokol dengan beberapa audit sebelumnya pun dapat menyembunyikan celah bypass yang kritis .