Hinkal-exploaten på $820 000: Så kringgick angriparen protokollets nollkunskapsbevis

Tidigare forskning hade identifierat relaterade risker. En zkSecurity-granskning av Hinkals kretsar noterade potentiella problem med dubbelutgifter via nullifier-brister och otillräcklig validering av privata nycklar . Quantstamps granskning flaggade informationsrisker kring tomma lövnoder som mappade till icke-noll åtaganden, även om protokollet erkände problemet före exploaten . Dessa fynd, kombinerat med den verkliga exploaten, understryker gapet mellan teoretiska granskningsresultat och utnyttjbara sårbarheter på kedjan.

Penningtvätt

Efter exploaten konverterade angriparen de stulna USDC till Ether och flyttade medlen genom Tornado Cash och THORChain för att dölja spåret . On-chain-data visar att 410 ETH (~$700 000) sattes in i Tornado Cash, och ytterligare 44,7 ETH bryggades från Ethereum till en Bitcoin-adress via THORChain .

Säkerhetsföretag som bekräftade incidenten

• CertiK flaggade attacken först via sitt on-chain-övervakningssystem och rapporterade de misstänkta transaktionerna och den uppskattade förlusten på $800 000 .
• PeckShieldAlert bekräftade exploaten och den uppskattade summan på $820 000 .
• Den oberoende säkerhetsforskaren Specter flaggade också incidenten offentligt, och nyhetsmedier rapporterade brett om intrånget .

Vid tidpunkten för rapporteringen hade Hinkal inte offentliggjort en bekräftad postmortem, en transaktionsgenomgång av exploaten eller en grundorsaksförklaring .

Det bredare DeFi-säkerhetssammanhanget 2026

Hinkal-exploaten är en av många i en bredare ökning av kryptohack 2026. Enligt TRM Labs var H1 2026 den mest hackade sexmånadersperioden någonsin räknat i antal incidenter: 207 separata hack inom krypto, även om de totala förlusterna på $972 miljoner var mindre än hälften av de $2,3 miljarder som stals under H1 2025 . Antalet attacker ökade dramatiskt .

Nordkoreanska hackargrupper stod ensamma för $643 miljoner under H1 2026, vilket motsvarar ungefär två tredjedelar av den globala kryptostölden . Q2 2026 (~$746 miljoner stulna i cirka 70 exploater) satte rekord som den mest hackade kvartalsperioden i DeFi-historien räknat i antal incidenter . DeFis totala låsta värde föll från cirka $115 miljarder i januari 2026 till cirka $70 miljarder i slutet av juni, delvis drivet av den oupphörliga hackvågen .

Vad detta betyder för ZK-baserade protokoll

Hinkal-exploaten är ett typexempel på en logisk bugg i ZK-verifiering – en sårbarhetstyp som blir allt kostsammare i takt med att fler protokoll antar nollkunskapsbevis för integritet och skalning . Till skillnad från traditionella smartkontraktsbuggar bryter ZK-kretsfel mot den grundläggande säkerhetsantagandet att matematiska bevis är oförfalskbara . När en verifieringskrets är felkonfigurerad skapar den inte bara en exploit – den skapar ett matematiskt giltigt sätt att ljuga för protokollet . För utvecklare är lärdomen att ZK-verifieringslogik kräver specialiserad granskning utöver standardgenomgångar av smartkontrakt, och att även protokoll med flera tidigare granskningar kan dölja kritiska kringgåendebrister .