- 공격자가 2026년 7월 3일 DeFi 프라이버시 프로토콜인 힌칼(Hinkal)을 약 82만 달러 규모의 USDC로 공격하여, 해당 프로토콜의 총 잠금 가치(TVL)의 거의 전액을 유출했습니다.
- 도난된 자금은 ETH로 전환된 후 토렌도 캐시(Tornado Cash)와 스라오체인(Thornchain)을 통해 세탁되었습니다.
- 이 사건은 규제 역풍과 지속적인 해킹 위험에 직면한 시점에서 프라이버시 중심 DeFi의 스마트 계약 보안에 대한 새로운 우려를 제기합니다.
2026년 7월 3일, 공격자들은 온체인 프라이버시 프로토콜인 Hinkal에서 약 830,000달러의 USDC를 훔쳤고, 믹싱 및 브리징 서비스를 사용하여 공격 발생 몇 시간 내에 훔친 암호화폐를 이동시켰습니다.
이 침해 사건은 DeFi 프라이버시 인프라가 겪고 있는 어려운 시기를 더욱 악화시킵니다. DeFiLlama의 데이터에 따르면, 공격 당시 Hinkal은 5개 블록체인에 걸쳐 총 잠긴 가치(TVL)가 829,000달러에 불과했으며, 프로토콜이 소유한 자산의 거의 전부가 유출되었습니다.
공격자가 무증거 입금 결함을 통해 Hinkal에서 자금 유출
이 공격은 블록체인 보안 기업 CertiK에 의해 발견되었습니다. 해커는 주소 0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20을 사용하는 외부 소유 계정(EOA)을 사용했으며, CertiK가 "무증거 입금(proofless deposit)"이라고 부르는 작업을 수행한 후 Hinkal의 스마트 컨트랙트 중 하나로 여러 "Transact" 호출을 실행했습니다. CertiK는 X(구 트위터)에서 해커가 Hinkal에서 800,000달러 이상을 유출했다고 보고했습니다.
우리는 @hinkal_protocol과 관련된 의심스러운 거래를 감지했습니다. EOA 0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20은 "Proofless Deposit" 후 여러 "Transact" 거래를 수행하여 Hinkal 컨트랙트에서 약 800,000달러의 USDC를 유출했습니다. 경계하십시오!
PeckShield는 온체인 조사 기관인 Specter의 분석에 따라 Hinkal이 실제로 손실한 암호화폐 금액은 약 820,000달러라고 밝혔습니다.
해커는 범죄 활동을 숨기기 위해 신속하게 움직였습니다. CertiK의 후속 분석에 따르면 해커는 훔친 USDC를 이더리움(ETH)으로 변환하는 데 성공했습니다.
해커는 410 ETH(약 700,000달러)를 미국 정부의 제재 대상인 잘 알려진 이더리움 믹서인 Tornado Cash에 입금했으며, 44.67 ETH는 Thorchain을 통해 이더리움 블록체인에서 비트코인 블록체인으로 역전되어 bc1qr2sf로 시작하는 비트코인 주소에 도달했습니다. PeckShield에 따르면입니다.
Tornado Cash과 크로스체인 브리지를 사용하여 USDC를 비트코인으로 변환하는 것은 지난 1년 동안 발생한 다른 DeFi 모니타이제이션 해킹 동안 반사기 조직들이 관찰해 온 자금세탁 패턴입니다.
ACM Web Conference 2026에 발표된 연구 논문은 제재가 가해짐에도 불구하고 제재 대상 암호화폐 믹서가 정부 규제 기관의 중단 압력에도 불구하고 세탁된 자금에 대한 익명성을 계속 제공한다는 것을 입증했습니다.
CertiK는 또한 연구 보고서에서 Tornado Cash 사용이 미국 정부의 제재 이후 변화했다고 밝혔습니다. 그러나 프로토콜은 프라이버시를 중시하는 법 준수 개인이 사용하는 것과 동일한 방식으로 해커와 범죄자들에게 지속적으로 사용되고 있어, 법 집행 기관과 반자금세탁 조직이 분산형 프라이버시 인프라 내에서 발생하는 범죄 활동을 식별하기 어렵게 만듭니다.
Hinkal의 기능
Hinkal은 온체인 거래를 위한 기관 등급의 프라이버시 레이어로 자체를 브랜딩했습니다. 이 프로토콜은 사용자가 공개 블록체인에서 지갑의 잔액이나 거래 상대방을 공개하지 않고도 차폐된 주소를 생성하고 스왑, 전송 및 결제를 실행할 수 있도록 합니다. 이 프로토콜은 이더리움, Arbitrum, Base, Polygon 및 OP Mainnet에서 작동합니다.
DefiLlama에 따르면, 이 프로토콜은 Draper Associates, Quantstamp, NGC Ventures로부터 시드 및 전략적 자금 조달 라운드를 통해 550만 달러를 조달했습니다. Hinkal은 해킹 전날 지갑 인프라 제공업체인 Turnkey와 파트너십을 체결하여 Turnkey 사용자에게 프라이버시 기능을 제공한다고 발표했습니다.
악용으로 인해 Hinkal의 TVL이 거의 전액 소멸
뉴스에서 본 다른 DeFi 유형 공격과 비교할 때, 이번 공격으로 도난당한 자금 규모는 상대적으로 작았습니다(820,000달러). 그러나 프로토콜의 전체 가치(829,000달러)와 비교할 때, 프로토콜 총 가치의 이러한 큰 부분이 손실되었다는 것은 사용자가 사실상 예금을 잃어버렸음을 의미합니다.
또한, 사용자의 프라이버시에 중점을 둔 DeFi 프로토콜에 대한 이러한 유형의 공격은 이러한 DeFi 프로토콜이 고객에게 기밀 거래를 처리하는 스마트 컨트랙트에 대한 보안 조치를 구현하는 측면에서 얼마나 안전한지에 대해 심각한 의문을 제기합니다.
DefiLlama에 따르면 TVL 기준 Hinkal의 가장 가까운 경쟁사는 Tornado Cash(4억 4,000만 달러), Railgun(7,750만 달러), Privacy Pools(780만 달러)입니다. 공격 전 TVL 기준, Hinkal은 프라이버시 프로토콜 순위 하위권에 위치해 있었습니다.
게재 시점까지 Hinkal은 공식 X 계정이나 웹사이트에서 악용 사건에 대한 공개 응답을 게시하지 않았습니다.
암호화폐 뉴스를 단순히 읽는 것을 넘어, 이해하세요. 뉴스레터에 구독하세요. 무료입니다.
자주 묻는 질문
힌칼(Hinkal)이란 무엇이며, 무엇을 도난당했습니까?
힌칼은 사용자가 이더리움을 포함한 5개 네트워크에서 비공개 온체인 거래를 할 수 있게 하는 프라이버시 프로토콜입니다. 공격자는 2026년 7월 3일 스마트 컨트랙트에서 약 82만 달러 상당의 USDC를 유출했습니다.
공격자는 도난된 자금을 어떻게 세탁했습니까?
CertiK와 PeckShield에 따르면, 공격자는 도난된 USDC를 ETH로 교환한 후 410 ETH(약 70만 달러)를 토렌도 캐시에 입금하고, 다른 44.67 ETH를 스라오체인을 통해 이더리움에서 비트코인으로 브리지했습니다.
힌칼의 자금 중 얼마나 많은 영향이 있었습니까?
DefiLlama에 따르면, 힌칼은 공격 당시 약 82만 9천 달러의 총 잠금 가치(TVL)를 보유하고 있어, 이번 공격으로 프로토콜의 전체 자산 기반이 거의 모두 유출되었습니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
마이아 비오둔
미카 아비오둔은 탈린 공과대학교 (TalTech) 에서 환경공학 및 관리 석사 학위를 바탕으로 크립토폴리탄에서 콘텐츠와 가격 예측 뉴스를 다듬고 있습니다. 현재 암호화폐 미디어 업계 7년 차인 그는 주요 암호화폐, 알트코인, DeFi, 스테이블코인, 거시 동향 및 신기술을 다루고 있습니다.
