攻击者利用 Hinkal 隐私协议漏洞，通过 Tornado Cash将窃取的资金转移至其他平台，导致 82 万美元被盗。

经过

米卡·阿比奥顿

3分钟前阅读， 8秒前

2026 年 7 月 3 日，一名攻击者利用 DeFi 隐私协议 Hinkal 的漏洞，窃取了价值约 82 万美元的 USDC，几乎耗尽了该协议锁定的全部总价值。.
被盗资金被兑换成以太坊，并通过 Tornado Cash 和 Thorchain 进行洗钱。.
在以隐私为中心的 DeFi 领域面临监管阻力和持续攻击风险之际，此次dent 引发了人们对智能trac安全性的新担忧。.

2026 年 7 月 3 日，攻击者从链上隐私协议 Hinkal 窃取了价值约 83 万美元的 USDC，并在攻击发生后的几个小时内利用混合和桥接服务转移了被盗的加密货币。.

本已艰难的处境 DeFi 。根据 DeFiLlama，Hinkal在攻击发生时在五个区块链上的总锁定价值（TVL）仅为82.9万美元，这意味着该协议几乎所有资产都被盗走。

攻击者利用无证据存款漏洞榨干了 Hinkal 的资金。

此次攻击由区块链安全公司 CertiK 发出警报。调查发现，黑客使用了一个外部账户（地址为 0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20），在向 Hinkal 的一个智能合约执行了 CertiK 所称的“无证明存款”后，执行了一系列“Transact”调用trac在 X 上报告称，黑客从 Hinkal 窃取了超过 80 万美元。

我们检测到涉及 @hinkal_protocol 的可疑交易。EOA 0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20 在一次“无凭证存款”后进行了多次“交易”操作，试图盗取价值约 80 万美元的 Hinkal USDCtrac资金。请保持警惕！

PeckShield 表示，根据链上调查员 Specter 的分析，Hinkal 实际损失的加密货币金额约为 82 万美元。

黑客迅速采取行动掩盖犯罪活动。CertiK 的后续分析显示，黑客已成功将窃取的 USDC 兑换成 Ethereum (ETH)。

PeckShield 报道，黑客将 410 个 ETH（约 70 万美元）存入 Tornado Cash，这是一个著名的 Ethereum 混合器，目前受到美国政府的制裁。此外，黑客还通过 Thorchain 将 44.67 个 ETH 从 Ethereum 区块链转移到 Bitcoin 区块链，最终到达一个 Bitcoin 地址以。

使用 Tornado Cash 和跨链桥将 USDC 转换为 Bitcoin 是一种洗钱模式，反欺诈组织在过去一年中发生的其他 DeFi 货币化黑客攻击事件中也观察到了这种模式。.

在 2026 年 ACM 网络会议上发表的一篇研究文章表明，尽管政府监管机构施加了越来越大的压力，要求停止这种做法，但受制裁的加密货币混合器仍然继续为洗钱资金提供匿名性。

CertiK 在一份研究报告中也指出，自美国政府实施制裁以来，Tornado Cash 使用方式发生了变化。然而，黑客和犯罪分子仍然以与重视隐私的守法公民相同的方式使用该协议，这使得执法部门和反洗钱机构难以dent去中心化隐私基础设施内发生的犯罪活动。

欣卡尔做什么

Hinkal 将自身定位为机构级链上交易隐私层。该协议允许用户创建屏蔽地址，并在公共区块链上执行兑换、转账和支付操作，而无需透露钱包余额详情或交易对手信息。该协议可在 Ethereum、Arbitrum、Base、Polygon 和 OP 主网上运行。

据 DefiLlama 报道，该协议通过种子轮和战略融资，从 Draper Associates、Quantstamp 和 NGC Ventures 等投资者处筹集了 550 万美元。Hinkal 在黑客攻击事件发生的前一天宣布，他们已与钱包基础设施提供商 Turnkey 达成合作，为 Turnkey 用户提供隐私功能。.