โปรโตคอลความเป็นส่วนตัว Hinkal สูญเสีย $820K! แฮกเกอร์หลอก ZK Proof ดูดเหรียญเกลี้ยง

เจาะลึกวิธีการโจมตี

Hinkal ใช้เทคโนโลยี zkSNARKs เพื่อให้ผู้ใช้สามารถฝาก, แลกเปลี่ยน และถอนสินทรัพย์แบบส่วนตัว โดยการฝากเงินจะถูกบันทึกลงใน Merkle tree บนบล็อกเชน และการถอนเงินจำเป็นต้องมี Zero-Knowledge Proof ที่ถูกต้อง ที่อยู่ของแฮกเกอร์ (0xbB3...fc20) ได้ทำการ "Proofless Deposit" ซึ่งเป็นการฝากเงินโดยไม่มี ZK Proof ที่ถูกต้อง จากนั้นจึงดำเนินการ "Transact" หลายครั้งเพื่อถอน USDC มูลค่าประมาณ $820,000 จากสัญญา Hinkal ซึ่งบ่งชี้ถึงข้อบกพร่องในตรรกะการตรวจสอบ ZK Proof ของสัญญาอัจฉริยะ: สัญญายอมรับคำสั่งฝากและถอนเงินโดยไม่ตรวจสอบหลักฐานการเข้ารหัสอย่างถูกต้อง ทำให้ผู้โจมตีสามารถปลอมแปลงคำขอถอนเงินได้

งานวิจัยก่อนหน้านี้ได้ระบุถึงความเสี่ยงที่เกี่ยวข้องแล้ว การตรวจสอบจาก zkSecurity เกี่ยวกับวงจรของ Hinkal ชี้ให้เห็นถึงปัญหาที่อาจเกิดขึ้นกับการใช้จ่ายซ้ำ (double-spending) ผ่านข้อบกพร่องของ nullifier และการตรวจสอบคีย์ส่วนตัวที่ไม่เพียงพอ ในขณะที่การตรวจสอบของ Quantstamp แจ้งข้อกังวลด้านข้อมูลเกี่ยวกับการแมปโหนดใบไม้ที่ว่างเปล่า (empty leaf nodes) ไปยัง commitments ที่ไม่เป็นศูนย์ แม้ว่าโปรโตคอลจะยอมรับปัญหานี้ก่อนการแฮ็ก ข้อค้นพบเหล่านี้ เมื่อรวมกับการแฮ็กที่เกิดขึ้นจริง แสดงให้เห็นถึงช่องว่างระหว่างการตรวจสอบทางทฤษฎีและช่องโหว่ที่ถูกนำไปใช้ได้จริงบนบล็อกเชน

การฟอกเงิน

หลังจากโจมตีสำเร็จ ผู้โจมตีได้แปลง USDC ที่ขโมยมาเป็น Ether และเคลื่อนย้ายเงินผ่าน Tornado Cash และ THORChain เพื่อปิดบังร่องรอย ข้อมูลบนบล็อกเชนแสดงให้เห็นว่า 410 ETH (~$700,000) ถูกฝากเข้าไปใน Tornado Cash และอีก 44.7 ETH ถูกเชื่อมโยงจาก Ethereum ไปยังที่อยู่ Bitcoin ผ่าน THORChain

หน่วยงานรักษาความปลอดภัยที่ยืนยันเหตุการณ์

• CertiK ตรวจพบการโจมตีเป็นรายแรกผ่านระบบแจ้งเตือนบนเชน โดยรายงานธุรกรรมที่น่าสงสัยและความเสียหายประมาณ $800,000
• PeckShieldAlert ยืนยันการโจมตีและมูลค่าความเสียหายประมาณ $820,000
• นักวิจัยด้านความปลอดภัยอิสระ Specter ยังได้แจ้งเตือนเหตุการณ์ดังกล่าวต่อสาธารณะ และสำนักข่าวต่างๆ ก็รายงานการบุกรุกอย่างแพร่หลาย

จนถึงขณะนี้ Hinkal ยังไม่ได้เผยแพร่รายงานสรุปเหตุการณ์ (postmortem) รายละเอียดธุรกรรมการโจมตี หรือคำอธิบายสาเหตุที่แท้จริง

บริบทความปลอดภัยของ DeFi ในปี 2026

การแฮ็ก Hinkal เป็นเพียงหนึ่งในเหตุการณ์การโจมตี crypto ที่เพิ่มสูงขึ้นในปี 2026 ตามรายงานของ TRM Labs ครึ่งปีแรกของปี 2026 เป็น ช่วง 6 เดือนที่ถูกแฮ็กมากที่สุดเป็นประวัติการณ์ ในแง่ของจำนวนเหตุการณ์: การแฮ็ก 207 ครั้ง ทั่วทั้งคริปโต แม้ว่ามูลค่าความเสียหายรวม $972 ล้านดอลลาร์จะน้อยกว่าครึ่งหนึ่งของ $2.3 พันล้านดอลลาร์ที่ถูกขโมยในครึ่งแรกของปี 2025 แต่จำนวนการโจมตีกลับเพิ่มขึ้นอย่างรวดเร็ว

กลุ่มแฮ็กเกอร์ที่เชื่อมโยงกับเกาหลีเหนือเพียงกลุ่มเดียวขโมยไป $643 ล้านดอลลาร์ ในช่วงครึ่งแรกของปี 2026 คิดเป็นประมาณสองในสามของการขโมยคริปโตทั่วโลก ไตรมาสที่สองของปี 2026 (ขโมยไป ~$746 ล้านดอลลาร์จาก ~70 ครั้ง) สร้างสถิติไตรมาสที่ถูกแฮ็กมากที่สุดในประวัติศาสตร์ DeFi ในแง่ของจำนวนเหตุการณ์ มูลค่ารวมที่ถูกล็อคใน DeFi ลดลงจากประมาณ $115 พันล้านดอลลาร์ในเดือนมกราคม 2026 เหลือประมาณ $70 พันล้านดอลลาร์ภายในสิ้นเดือนมิถุนายน สาเหตุส่วนหนึ่งมาจากคลื่นการแฮ็กที่ไม่มีวันหยุด

บทเรียนสำหรับโปรโตคอลที่ใช้ ZK

การแฮ็ก Hinkal เป็นตัวอย่างคลาสสิกของข้อบกพร่องของตรรกะการตรวจสอบ ZK ซึ่งเป็นช่องโหว่ประเภทหนึ่งที่มีค่าใช้จ่ายสูงขึ้นเรื่อยๆ เนื่องจากโปรโตคอลต่างๆ หันมาใช้ Zero-Knowledge Proofs เพื่อความเป็นส่วนตัวและการปรับขนาด แตกต่างจากข้อบกพร่องของสัญญาอัจฉริยะทั่วไป ข้อบกพร่องของวงจร ZK จะทำลายสมมติฐานด้านความปลอดภัยพื้นฐานที่ว่าหลักฐานทางคณิตศาสตร์นั้นไม่สามารถปลอมแปลงได้ เมื่อวงจรตรวจสอบ (verifier circuit) ถูกกำหนดค่าผิด มันไม่ได้แค่สร้างช่องโหว่ แต่สร้างวิธีการทางคณิตศาสตร์ที่ถูกต้องเพื่อโกหกโปรโตคอล สำหรับนักพัฒนา บทเรียนคือตรรกะการตรวจสอบ ZK ต้องการการตรวจสอบเฉพาะทางที่เหนือกว่าการตรวจสอบสัญญาอัจฉริยะมาตรฐาน และแม้แต่โปรโตคอลที่มีการตรวจสอบหลายครั้งก่อนหน้านี้ก็อาจมีข้อบกพร่องร้ายแรงที่สามารถเลี่ยงผ่านได้