تم استغلال بروتوكول الخصوصية الخاص بـ Hinkal لسرقة 820 ألف دولار، حيث قام المهاجم بتحويل الأموال المسروقة عبر منصة Tornado Cash

في 3 يوليو 2026، سرق المهاجمون حوالي 830 ألف دولار من عملة USDC من Hinkal، وهو بروتوكول خصوصية على سلسلة الكتل، واستخدموا خدمات الخلط والربط لنقل العملة المشفرة المسروقة في غضون ساعات من الاستغلال.

يُفاقم هذا الاختراق الوضع الصعب الذي تواجهه DeFi البنية التحتية لحماية خصوصية التمويل فبحسب بيانات من DeFiLlama، لم تتجاوز القيمة الإجمالية المُقفلة (TVL) لـ Hinkal 829 ألف دولار أمريكي موزعة على خمس سلاسل كتل وقت الهجوم، ما يعني أن جميع الأصول المملوكة للبروتوكول تقريبًا قد أُزيلت.

يستغل المهاجم ثغرة في نظام الإيداع غير الموثق لاستنزاف رصيد هينكال

رصدت شركة CertiK المتخصصة في أمن تقنية البلوك تشين الهجوم. وتبين أن المخترق كان يستخدم حسابًا خارجيًا بعنوان 0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20، ونفذ عددًا من عمليات "المعاملات" بعد إجراء ما وصفته CertiK بـ"إيداع بدون إثبات" في أحد العقود الذكية لشركة Hinkaltracوأفادت CertiK على منصة X أن المخترق تمكن من سحب أكثر من 800 ألف دولار من Hinkal.

رصدنا معاملات مشبوهة تتعلق بـ @hinkal_protocol. قام حساب EOA 0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20 بإجراء عدة معاملات "Transact" بعد "إيداع بدون إثبات" لسحب مبلغ 800 ألف دولار أمريكي تقريبًا منtracHinkal. يرجى توخي الحذر!

صرحت شركة PeckShield بأن المبلغ الفعلي للعملات المشفرة الذي خسره هينكال كان حوالي 820 ألف دولار بناءً على تحليل أجراه Specter، وهو محقق على سلسلة الكتل.

سارع المخترق إلى إخفاء نشاطه الإجرامي. تحليل لاحق أجرته شركة CertiK أن المخترق تمكن من تحويل عملة USDC المسروقة إلى Ethereum (ETH).

قام المخترق بإيداع 410 إيثيريوم (حوالي 700000 دولار) في تورنادو Cashالمعروف Ethereum الذي يخضع الآن لعقوبات من قبل الحكومة الأمريكية، وتم عكس 44.67 إيثيريوم من Ethereum إلى Bitcoin من خلال ثورتشين، وانتهى الأمر بعنوان Bitcoin يبدأ بـ bc1qr2sf، وفقًا لـ PeckShield.

إن استخدام Tornado Cash والجسور عبر السلاسل لتحويل USDC إلى Bitcoin هو نمط من غسيل الأموال لاحظته منظمات مكافحة الاحتيال خلال عمليات اختراق أخرى لتحقيق الدخل من التمويل DeFi حدثت خلال العام الماضي.

مقالة بحثية نُشرت في مؤتمر ACM Web Conference 2026 أن شركات خلط العملات المشفرة الخاضعة للعقوبات لا تزال توفر إخفاء الهوية للأموال المغسولة على الرغم من الضغط المتزايد من الجهات التنظيمية الحكومية للتوقف عن القيام بذلك.

أشارت Cash قد تغير منذ فرض العقوبات من قبل الحكومة الأمريكية. ومع ذلك، لا يزال المخترقون والمجرمون يستخدمون هذا البروتوكول بنفس الطريقة التي يستخدمه بها الأفراد الملتزمون بالقانون والذين يحرصون على خصوصيتهم، مما يصعّب على جهات إنفاذ القانون ومنظمات مكافحة غسل الأموال تحديدdentالإجرامية التي تحدث ضمن بنية الخصوصية اللامركزية. شركة CertiK في تقرير بحثي إلى أن استخدام بروتوكول Tornado

ما يفعله هينكال

هينكال نفسها كطبقة خصوصية مؤسسية للمعاملات على سلسلة الكتل. يسمح البروتوكول للمستخدمين بإنشاء عناوين محمية وتنفيذ عمليات التبادل والتحويل والدفع دون الكشف عن تفاصيل رصيد المحفظة أو هوية الأطراف التي يتعاملون معها، وذلك على سلسلة كتل عامة. يعمل البروتوكول على Ethereum، وأربيتروم، وبيس، وبوليغون، وشبكة OP الرئيسية.

جمع البروتوكول 5.5 مليون دولار أمريكي من خلال جولات تمويل تأسيسية واستراتيجية من المستثمرين التاليين: دريبر أسوشيتس، وكوانتستامب، وإن جي سي فنتشرز، وفقًا لموقع Defiلاما. وأعلنت هينكال في اليوم السابق للاختراق عن دخولها في شراكة مع تيرنكي، وهي شركة متخصصة في توفير بنية تحتية للمحافظ الرقمية، لتقديم ميزات خصوصية لمستخدمي تيرنكي.

يستغل هذا الاختراق جميع بيانات هينكال تقريبًا

مقارنةً بهجمات DeFi الأخرى التي شاهدناها في الأخبار، أسفر هذا الهجوم عن سرقة مبلغ صغير نسبيًا من الأموال (820,000 دولار). ومع ذلك، عند مقارنته بالقيمة الإجمالية للبروتوكول (829,000 دولار)، فإن خسارة هذا الجزء الكبير من القيمة الإجمالية للبروتوكول تعني أن المستخدمين قد خسروا ودائعهم فعليًا.

بالإضافة إلى ذلك، فإن هذا النوع من الهجوم على بروتوكول DeFi الذي يركز على خصوصية مستخدميه يثير تساؤلات جدية حول مدى أمان بروتوكولات DeFi هذه عندما يتعلق الأمر بتنفيذ تدابير أمنيةtracالذكية التي تعالج المعاملاتdentلعملائها.

تشمل أقرب منافسي هينكال من حيث القيمة الإجمالية للأصول (TVL) كلاً من تورنادو Cash (440 مليون دولار)، وريلغان (77.5 مليون دولار)، وبرايفسي بولز (7.8 مليون دولار)، وفقًا لموقع Defiلاما. وقبل استغلال ثغرة أمنية، كانت هينكال تحتل مرتبة متدنية في تصنيفات بروتوكولات الخصوصية.

حتى وقت النشر، لم تنشر شركة هينكال ردًا علنيًا على الثغرة الأمنية على حسابها الرسمي على منصة X أو موقعها الإلكتروني.