Hinkal隐私协议遭攻击，损失82万美元，攻击者通过Tornado Cash转移被盗资金

2026年7月3日，链上隐私协议Hinkal遭黑客攻击，损失约83万美元USDC

攻击者在得手后数小时内，利用混币器和跨链桥服务转移了被盗的加密货币。此次事件使DeFi隐私基础设施本就艰难的处境雪上加霜。

根据DeFiLlama的数据，攻击发生时Hinkal在五条区块链上的总锁仓价值（TVL）仅为82.9万美元，这意味着协议几乎所有的资产都被洗劫一空。

黑客利用“无证明存款”漏洞掏空Hinkal

区块链安全公司CertiK率先标记了此次攻击。调查发现，黑客使用了一个外部拥有账户（地址为0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20），在向Hinkal的一个智能合约执行所谓的“无证明存款”后，发起多次“Transact”调用。

CertiK在X平台上报告称，黑客从Hinkal盗走了超过80万美元。

PeckShield则表示，根据链上调查员Specter的分析，Hinkal实际损失的加密货币金额约为82万美元。

黑客迅速掩盖犯罪痕迹

CertiK的后续分析显示，黑客将盗取的USDC兑换为以太坊（ETH）。据PeckShield监测，黑客将410枚ETH（约70万美元）存入已被美国政府制裁的知名以太坊混币器Tornado Cash，另有44.67枚ETH通过Thorchain从以太坊区块链反向兑换至比特币区块链，最终流向一个以bc1qr2sf开头的比特币地址。

利用Tornado Cash和跨链桥将USDC转换成比特币，这种洗钱模式在过去一年中已被反欺诈组织在其他DeFi货币化黑客事件中观察到。

一篇发表于ACM Web Conference 2026的研究论文表明，尽管监管机构加大了施压，被制裁的加密货币混币器仍在为洗钱资金提供匿名保护。CertiK也在研究报告中指出，自美国政府实施制裁以来，Tornado Cash的使用情况发生了变化。然而，黑客和犯罪分子依然像重视隐私的守法公民一样持续使用该协议，这使得执法和反洗钱机构难以识别发生在去中心化隐私基础设施中的犯罪活动。

Hinkal的业务简介

Hinkal将自己定位为面向链上交易的机构级隐私层。该协议允许用户创建隐蔽地址，并在公开区块链上执行兑换、转账和支付，而无需暴露钱包余额或交易对手信息。协议支持以太坊、Arbitrum、Base、Polygon和OP Mainnet。

据DeFiLlama，Hinkal通过种子轮和战略融资从Draper Associates、Quantstamp和NGC Ventures等投资方筹集了550万美元。在黑客事件发生前一天，Hinkal宣布与钱包基础设施提供商Turnkey达成合作，为Turnkey用户提供隐私功能。

攻击几乎清空了Hinkal的全部TVL

与新闻中常见的其他DeFi攻击相比，此次事件被盗金额（82万美元）相对较小。然而，对比协议的总价值（82.9万美元），如此大比例的损失意味着用户基本上失去了他们的存款。

此外，这种针对专注于用户隐私的DeFi协议的袭击，严重质疑了这些协议在为其客户处理机密交易时，其智能合约安全措施的实施程度。

据DeFiLlama数据，按TVL计算，Hinkal最接近的竞争对手包括Tornado Cash（4.4亿美元）、Railgun（7750万美元）和Privacy Pools（780万美元）。在遭受攻击前，Hinkal的TVL在隐私协议中排名靠后。

截至本文发布，Hinkal尚未在其官方X账户或网站上就此次攻击发布公开回应。