Hinkal エクスプロイト: 証拠のない預金から単一のビットコイン アドレスまで、オンチェーンで 82 万ドルの流出を追跡しました

2026 年 7 月 3 日、攻撃者は、シールドされたオンチェーン トランザクション用のゼロ知識プライバシー プロトコルである Hinkal から約 82 万ドルを流出させ、その価値のほぼ全額がロックされました。セキュリティ企業の CertiK と PeckShield は 1 時間以内にこの問題に警告を発し、電報の報道はいつものように端折られた詳細で止まった。私たちはイーサリアムからトランザクションを直接引き出し、最初の不審なコントラクト呼び出しから資金がブリッジされる正確なビットコインアドレスに至るまで、すべてを再構築しました。これがオンチェーントレースです。

排水: 1 つのコントラクトに対するスクリプト化されたループ

この攻撃におけるすべての撤退は単一のヒンカル契約を指しており、 0x25e5e82f5702a27c3466fe68f14abdbbadfca826、ほとんどのメディアは短縮された形式でのみ公開しました。攻撃者のアカウントから 0xbB3f...fc20では、セキュリティ警告で説明されているパターンがわかります。その契約への呼び出しが集中し、その後、同一の支払いが急速に繰り返されるというものです。

領収書を読むと、それぞれが 1 分以内にイーサリアム ブロック 25448345 から 25448348 にクラスター化され、攻撃者に契約からちょうど 25,000 USDC を移動させた少なくとも 22 の個別のトランザクションを数えました。これらの呼び出しの前には、何も転送されなかった同じコントラクトへの以前の数十回の呼び出しがあり、これは支払いループが始まる前のセットアップと調査フェーズと一致しています。一律 25,000 USDC のサイズと機関銃のタイミングは、契約が有効であると信じていたポジションを排出する自動スクリプトの兆候です。 CertiKは、このエントリポイントを「証明のないデポジット」と特徴づけ、シールドされたプロトコルで必要とされるゼロ知識証明なしで受け入れられたデポジットを意味しますが、この記事の執筆時点では正式なヒンカルの事後分析は公開されていませんでした。

お金を追う: トルネードキャッシュ、そしてビットコインへの架け橋

これは、オンチェーンのトレイルが具体的になる場所であり、切り詰められたままになっているワイヤー カバレッジの詳細を追加できる場所です。盗んだUSDCを約455イーサに統合した後、攻撃者は収益を2つの洗浄ルートに分割し、私たちはどちらのルートもトランザクションごとに追跡しました。

ビットコインアドレスは注目に値する部分です。レポートにより切り捨てられました bc1qr2sf...zn3w 通常の転送のようにトランザクションでは完全な文字列が出力されないためです。これは、トランザクション入力データにエンコードされた命令である THORChain メモ内にあります。ブリッジトランザクションからそのメモをデコードすると、完全なスワップ命令が得られます。 =:b:bc1qr2sfkehuqgr0sp87sp25uzw79242523l26zn3w、イーサをその正確なアドレスのネイティブ ビットコインにルーティングします。その 1 回のデコードにより、切り詰められたプレースホルダーが、誰でも監視できる具体的なオンチェーン エンドポイントに変わります。

Tornado Cash レッグは意図的に構成されています。1 回の大規模な送金ではなく、ミキサーのプールへの 14 回のラウンドナンバーの入金であり、今週の記事でも追跡したパターンです。 Edel Finance のエクスプロイト、同様にTornado Cashを通じて収益を注ぎ込みました。 2つのDeFiが48時間以内に同じ認可されたミキサーにルーティングするということは、2026年半ばに盗まれたオンチェーン資金がどこへ行くのかについての独自のシグナルとなる。

プライバシープロトコルが最もソフトターゲットだった理由

名前を付ける価値のある皮肉があります。 Hinkal の売り込み全体はプライバシー、つまりユーザーが自分の活動を暴露することなく取引できるようにするゼロ知識証明です。証明検証パスが失敗した場合、プロトコルの中核機能が攻撃対象領域となります。 「証拠のない預金」は、まさに、預金とプールの資金の間にあるのは証拠だけであるため、シールドされたシステムでは許容できない障害モードです。

スケールのせいで状況はさらに悪化しました。 Hinkal は、約 5 つのチェーンにわたってロックされたスプレッドの総額で約 829,000 ドルしか保有していなかったので、イーサリアム展開上で機能する 1 つのエクスプロイトでほぼすべてを奪うのに十分でした。このプロジェクトは、Draper Associates、Quantstamp、NGC Ventures などの投資家から約 550 万ドルを調達しましたが、これは資金調達や監査によってスマートコントラクトのリスクが除去されるわけではないことを思い出させます。同じ規律がオンチェーンのポジションにも適用されます。つまり、ファンドとの契約を信頼する前に、トークンの契約をスクリーニングするのと同じ方法で、それが実際に何を行うのかを検証してください。 トークンセーフティチェッカー または、次の説明で操作スタイルの攻撃がどのように展開するかを学習してください。 オラクル操作 と フラッシュローンの悪用。

方法論と免責事項: インシデントのコンテキストは、CertiK および PeckShield のアラートと、Cryptopolitan、CryptoTimes などによるレポートから抽出されています。トランザクションレベルの詳細、悪用されたコントラクトアドレス、25,000USDC引き出し数、410ETHトルネードキャッシュ入金、THORChainブリッジトランザクション、および完全にデコードされたビットコイン宛先アドレスは、イーサリアムメインネットから独立して再構築されました（ブロック25448306から25448683）。正確な損失はおよそ 80 万ドルから 83 万ドルの間であると報告されています。約82万ドルを使います。 「証拠のない預金」の特徴付けは CertiK のものです。この記事の執筆時点では、ヒンカルの公式の死後報告は公表されていなかった。この記事は情報提供のみを目的としており、財務上のアドバイスではありません。