Hinkal $820K-hack: hoe een zero-knowledge proof-bypass een privacyprotocol leegtroggelde

Eerder onderzoek had al gewezen op verwante risico's. Een beveiligingsaudit van zkSecurity naar de circuits van Hinkal noemde mogelijke problemen met dubbel uitgeven via nullifier-lekken en inadequate validatie van privésleutels . Quantstamp constateerde informatieve punten over lege bladknooppunten die naar niet-nul commitments verwezen, maar het protocol erkende dit probleem al vóór de exploit . Deze bevindingen, in combinatie met de daadwerkelijke hack, onderstrepen de kloof tussen theoretische auditresultaten en daadwerkelijk uitbuitbare kwetsbaarheden op de blockchain.

Witwassen van de gestolen fondsen

Na de exploit zette de aanvaller de gestolen USDC om in Ether en verplaatste het geld via Tornado Cash en THORChain om de herkomst te verhullen . On-chain data tonen dat 410 ETH (~$700.000) werd gestort in Tornado Cash, en nog eens 44,7 ETH via THORChain van Ethereum naar een Bitcoin-adres werd overgebracht .

Beveiligingsbedrijven die het incident bevestigden

• CertiK signaleerde de aanval als eerste via zijn on-chain alertsysteem en rapporteerde verdachte transacties met een geschat verlies van $800.000 .
• PeckShieldAlert bevestigde de exploit en het bedrag van $820.000 .
• Onafhankelijk beveiligingsonderzoeker Specter meldde het incident ook openbaar, waarna nieuwsmedia er breed over berichtten .

Op het moment van schrijven had Hinkal nog geen officiële post-mortem, transactieoverzicht of oorzaakanalyse gepubliceerd .

De bredere DeFi-beveiligingscontext in 2026

De Hinkal-hack is een van de vele incidenten in een bredere golf van crypto-hacks in 2026. Volgens TRM Labs was de eerste helft van 2026 de meest gehackte zesmaandsperiode ooit qua aantal incidenten: 207 afzonderlijke hacks in de cryptowereld, al bleef het totale verlies van $972 miljoen ruim onder de $2,3 miljard van dezelfde periode in 2025 . Het aantal aanvallen steeg echter fors .

Noord-Koreaanse hackergroepen alleen al stalen $643 miljoen in H1 2026, goed voor ongeveer twee derde van alle wereldwijde cryptodiefstal . Q2 2026 (~$746 miljoen gestolen bij ~70 exploits) was het kwartaal met de meeste hacks in de DeFi-geschiedenis . De totale waarde die in DeFi vastzat ('total value locked') daalde van circa $115 miljard in januari 2026 naar ongeveer $70 miljard eind juni, mede door de aanhoudende hackgolf .

Wat dit betekent voor ZK-gebaseerde protocollen

De Hinkal-exploit is een schoolvoorbeeld van een fout in de ZK-verificatielogica — een type kwetsbaarheid dat steeds kostbaarder wordt naarmate meer protocollen zero-knowledge proofs omarmen voor privacy en schaalbaarheid . In tegenstelling tot traditionele smart contract-fouten doorbreken ZK-circuitfouten de fundamentele veiligheidsaanname dat wiskundige bewijzen onvervalsbaar zijn . Als een verifier-circuit verkeerd is geconfigureerd, levert dat niet zomaar een exploit op — het creëert een wiskundig geldige manier om tegen het protocol te liegen . Voor ontwikkelaars is de les dat ZK-verificatielogica gespecialiseerde audits vereist die verder gaan dan standaard smart contract-reviews, en dat zelfs protocollen met meerdere eerdere audits kritieke omzeilingsfouten kunnen herbergen .