Hinkal协议遭黑客攻击，82万美元USDC被盗

核心提要：2026年7月3日，基于零知识证明的隐私协议Hinkal遭遇严重安全事件，攻击者通过绕过验证机制盗取约82万美元USDC。资金被转入Tornado Cash与THORChain进行洗钱，引发行业对隐私技术可信度的重新审视。

隐私协议Hinkal遭遇重大安全事件，82万美元资产遭窃

作为主打机构级隐私交易的零知识证明协议，Hinkal支持在以太坊、Base及Arbitrum等主流链上实现钱包地址、金额与对手方信息的全面隐藏，同时确保结算环节可公开审计。其功能涵盖稳定币的机密存取、转账、兑换及DeFi交互，已累计处理超5亿美元私人交易量，并完成多轮独立安全审查。

攻击手法揭露：绕过证明验证机制实施无证提款

7月3日，一名攻击者利用核心合约中的漏洞，在以太坊网络上执行未经授权的“无证明存款”操作，并接连调用“Transact”函数，成功绕开协议内置的隐私验证流程，导致约82万美元的USDC被非法转移。CertiK Alert系统在交易发生后迅速识别异常行为并发出警报。

攻击路径与资金去向分析

攻击者使用EOA地址0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20，针对合约地址0x25e5e82f5702A27C3466fE68f14abDbbAdFca826发起攻击。被盗资产为USDC，总额介于80万至82万美元之间。后续资金被分批处理：约410枚以太坊（价值约70万美元）进入Tornado Cash混币器，另有44.7枚以太坊经由THORChain桥接至比特币网络，用于进一步匿名化。

协议背景与历史合规性

在此次事件前，Hinkal已完成多次第三方安全审计，强调其作为机构级解决方案的稳健性。该协议募集了约600万美元资金，部署了KYT（了解你的交易）机制以增强合规能力，且主要运行于以太坊与Base链，其他链未发现直接关联影响。

生态影响与行业反思

据DefiLlama数据显示，攻击发生时Hinkal各链总锁仓价值约为82.9万美元，其中以太坊占比最高。被盗金额占其流动性规模显著比例，虽协议采用隔离式屏蔽池设计，但用户仍面临短期信任波动。由于无原生代币，无法获取价格反应数据。此事件是2026年6月记录的45起区块链安全事件之一，反映出隐私协议在复杂逻辑保护上的持续挑战。近期类似事件如Solv Protocol因合约缺陷损失270万美元，凸显该领域亟需强化验证机制与快速响应体系，以维护用户信心。