Hinkalのプライバシープロトコルが悪用され、攻撃者が盗んだ資金をTornado Cash経由で送金し、82万ドルが不正に取得された。

2026年7月3日、攻撃者はオンチェーンプライバシープロトコルであるHinkalから約83万ドル相当のUSDCを盗み出し、ミキシングサービスとブリッジングサービスを利用して、攻撃から数時間以内に盗んだ暗号通貨を移動させた。.

今回の侵害は、 DeFi プライバシー保護インフラにとって困難な局面をさらに悪化させるものとなった。DeFi によると DeFiLlama、Hinkalは攻撃当時、5つのブロックチェーン全体でわずか82万9000ドルのロックされた資産（TVL）しか保有していなかったため、プロトコルが所有する資産のほぼすべてが流出したことになる。

攻撃者が証拠のない預金の欠陥を利用してヒンカルを搾取

この攻撃は、ブロックチェーンセキュリティ企業のCertiKによって発見されました。ハッカーは、アドレス0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20の外部所有アカウントを使用し、CertiKが「証明のない入金」と呼ぶ行為をHinkalのスマートコントラクトの1つに対して行った後、多数の「Transact」呼び出しを実行していたことが判明しましたtracは Xで 、ハッカーがHinkalから80万ドル以上を不正に引き出したと報告しました。

@hinkal_protocol に関連する不審な取引を検出しました。EOA 0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20 は、「証明なしの入金」に続いて複数の「取引」を行い、Hinkaltracから約 800,000 USDC を引き出しました。警戒を怠らないでください。

PeckShieldは 、オンチェーン調査員であるSpecterの分析に基づき、Hinkalが実際に失った仮想通貨の総額は約82万ドルであると述べた。

ハッカーは犯罪行為を隠蔽するために迅速に行動した。CertiK のその後の分析に よると、ハッカーは盗んだUSDCを Ethereum （ETH）に変換することに成功していた。

ハッカーは Cash有名な Ethereum 現在米国政府の制裁を受けている Ethereum に Bitcoin に送金されたと Bitcoin bc1qr2sfで始まる PeckShieldは述べている。

Tornado Cash とクロスチェーンブリッジを利用してUSDCを Bitcoin に変換する行為は、過去1年間に発生した他の DeFi 関連のハッキング事件において、不正対策機関によって確認されたマネーロンダリングの手口の一つである。.

ACM Web Conference 2026で発表された研究論文によると、政府規制当局からの停止圧力が高まっているにもかかわらず、認可された仮想通貨ミキサーは、資金洗浄された資金の匿名性を提供し続けていることが明らかになった。

CertiKは 調査報告書の中で、米国政府による制裁措置が課されて以来、Tornado Cash 利用状況が変化したと述べている。しかし、このプロトコルは、プライバシーを重視する法を遵守する個人と同様に、ハッカーや犯罪者によっても継続的に利用されており、法執行機関やマネーロンダリング対策機関が分散型プライバシーインフラ内で発生している犯罪行為を特定することを困難にしてdent。

Hinkalが行うこと

Hinkalは 、オンチェーン取引のための機関投資家レベルのプライバシーレイヤーとして自らを位置づけています。このプロトコルにより、ユーザーはウォレットの残高や取引相手の詳細を公開ブロックチェーン上で開示することなく、シールドアドレスを作成し、スワップ、送金、支払いを実行できます。このプロトコルは、 Ethereum、Arbitrum、Base、Polygon、およびOP Mainnetで動作します。

DefiLlamaによると、このプロトコルはシードラウンドと戦略的資金調達ラウンドを通じて、Draper Associates、Quantstamp、NGC Venturesなどの投資家から550万ドルを調達した。Hinkalはハッキングの前日に、ウォレットインフラストラクチャプロバイダーであるTurnkeyと提携し、Turnkeyユーザーにプライバシー機能を提供すると発表した。.

エクスプロイトによりヒンカルのTVLがほぼすべて消去される

ニュースで報じられた他の DeFi 型攻撃と比較すると、今回の攻撃で盗まれた資金は比較的少額（82万ドル）でした。しかし、プロトコル全体の価値（82万9000ドル）と比較すると、プロトコル全体の価値のかなりの部分を失ったということは、ユーザーが実質的に預金を失ったことを意味します。.

さらに、 DeFi プロトコルに対するこのような攻撃は、ユーザーのプライバシーに焦点を当てており、顧客の機密取引を処理するスマートtracのセキュリティ対策を実装する際に、これらの DeFi プロトコルがどれほど安全であるかについてdent疑問を投げかけています。.

DefiLlamaによると、TVL（総資産額）でHinkalに最も近い競合相手は、Tornado Cash （4億4000万ドル）、Railgun（7750万ドル）、Privacy Pools（780万ドル）である。エクスプロイト発生前のTVLでは、Hinkalはプライバシープロトコルランキングの下位に位置していた。.

本稿執筆時点では、Hinkalは公式Xアカウントまたはウェブサイト上で、この脆弱性に関する公式な声明を発表していなかった。.

最も賢い暗号通貨マインドを持つ人々はすでに私たちのニュースレターを読んでいます。参加してみませんか？ぜひ ご参加ください。