攻击者利用 Hinkal 隐私协议漏洞，通过 Tornado Cash将窃取的资金转移至其他平台，导致 82 万美元被盗。

2026 年 7 月 3 日，攻击者从链上隐私协议 Hinkal 窃取了价值约 83 万美元的 USDC，并在攻击发生后的几个小时内利用混合和桥接服务转移了被盗的加密货币。.

本已艰难的处境 DeFi 。 根据 DeFiLlama，Hinkal在攻击发生时在五个区块链上的总锁定价值（TVL）仅为82.9万美元，这意味着该协议几乎所有资产都被盗走。

攻击者利用无证据存款漏洞榨干了 Hinkal 的资金。

此次攻击由区块链安全公司 CertiK 发出警报。调查发现，黑客使用了一个外部账户（地址为 0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20），在向 Hinkal 的一个智能合约执行了 CertiK 所称的“无证明存款”后，执行了一系列“Transact”调用trac在 X 上报告称 ，黑客从 Hinkal 窃取了超过 80 万美元。

我们检测到涉及 @hinkal_protocol 的可疑交易。EOA 0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20 在一次“无凭证存款”后进行了多次“交易”操作，试图盗取价值约 80 万美元的 Hinkal USDCtrac资金。请保持警惕！

PeckShield 表示 ，根据链上调查员 Specter 的分析，Hinkal 实际损失的加密货币金额约为 82 万美元。

黑客迅速采取行动掩盖犯罪活动。CertiK 的后续分析 显示，黑客已成功将窃取的 USDC 兑换成 Ethereum (ETH)。

PeckShield 报道，黑客将 410 个 ETH（约 70 万美元）存入 Tornado Cash，这是一个著名的 Ethereum 混合器，目前受到美国政府的制裁。此外，黑客还通过 Thorchain 将 44.67 个 ETH 从 Ethereum 区块链转移到 Bitcoin 区块链，最终到达一个 Bitcoin 地址 以。

使用 Tornado Cash 和跨链桥将 USDC 转换为 Bitcoin 是一种洗钱模式，反欺诈组织在过去一年中发生的其他 DeFi 货币化黑客攻击事件中也观察到了这种模式。.

在 2026 年 ACM 网络会议上发表的一篇研究文章表明，尽管政府监管机构施加了越来越大的压力，要求停止这种做法，但受制裁的加密货币混合器仍然继续为洗钱资金提供匿名性。

CertiK 在一份研究报告中也指出，自美国政府实施制裁以来，Tornado Cash 使用方式发生了变化。然而，黑客和犯罪分子仍然以与重视隐私的守法公民相同的方式使用该协议，这使得执法部门和反洗钱机构难以dent去中心化隐私基础设施内发生的犯罪活动。

欣卡尔做什么

Hinkal 将自身定位为机构级链上交易隐私层。该协议允许用户创建屏蔽地址，并在公共区块链上执行兑换、转账和支付操作，而无需透露钱包余额详情或交易对手信息。该协议可在 Ethereum、Arbitrum、Base、Polygon 和 OP 主网上运行。

据 DefiLlama 报道，该协议通过种子轮和战略融资，从 Draper Associates、Quantstamp 和 NGC Ventures 等投资者处筹集了 550 万美元。Hinkal 在黑客攻击事件发生的前一天宣布，他们已与钱包基础设施提供商 Turnkey 达成合作，为 Turnkey 用户提供隐私功能。.

漏洞利用几乎抹去了欣卡尔的所有TVL

与其他新闻报道中提及的 DeFi 攻击相比，此次攻击造成的资金损失相对较小（82万美元）。然而，与该协议的总价值（82.9万美元）相比，损失如此大比例的资金意味着用户实际上损失了他们的存款。.

此外，这种针对 DeFi 协议的攻击主要针对用户隐私，这引发了人们对这些 DeFi 协议在为其处理客户dent交易的智能trac实施安全措施时安全性的严重质疑。.

根据 DefiLlama 的数据，Hinkal 最接近的竞争对手（按 TVL 计算）包括 Tornado Cash （4.4 亿美元）、Railgun（7750 万美元）和 Privacy Pools（780 万美元）。在漏洞利用前的 TVL 水平下，Hinkal 在隐私协议排名中接近垫底。.

截至发稿时，Hinkal 尚未在其官方 X 帐户或网站上就此漏洞发布公开回应。.

最顶尖的加密货币专家都在阅读我们的简报。想 加入他们？