Hinkal bị khai thác khoảng 830.000 USDC trong một vụ tấn công nhắm vào giao thức privacy on-chain, và số tiền bị chuyển qua mixer cùng bridge chỉ trong vài giờ.
Vụ việc gần như quét sạch thanh khoản của Hinkal, khi tổng giá trị khóa của giao thức này chỉ ở mức khoảng 829.000 USD vào thời điểm bị tấn công. Diễn biến cũng cho thấy rủi ro bảo mật vẫn rất lớn đối với các giao thức tập trung vào quyền riêng tư trên blockchain.
- Khoảng 830.000 USDC đã bị rút khỏi Hinkal sau một lỗ hổng liên quan đến “proofless deposit”.
- Số tiền bị chuyển nhanh qua Tornado Cash và Thorchain để che dấu dấu vết.
- TVL của Hinkal ở thời điểm bị tấn công chỉ khoảng 829.000 USD, nên thiệt hại gần như xóa sạch thanh khoản của giao thức.
Hinkal bị rút gần hết tài sản sau lỗ hổng “proofless deposit”
Hinkal là một giao thức privacy on-chain và đã bị rút khoảng 830.000 USDC qua một lỗ hổng mà CertiK mô tả là “proofless deposit”. Vụ khai thác được thực hiện từ một địa chỉ EOA có ký hiệu 0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20.
CertiK cho biết kẻ tấn công đã thực hiện nhiều lệnh “Transact” sau khi tạo một “Proofless Deposit” vào hợp đồng thông minh của Hinkal. PeckShield sau đó ước tính số tiền thiệt hại thực tế vào khoảng 820.000 USD dựa trên phân tích của Specter.
We have detected suspicious transactions involving @hinkal_protocol. The EOA 0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20 conducted multiple “Transact” transactions following a “Proofless Deposit” to drain a Hinkal contract of ~$800K USDC. Stay Vigilant!
– CertiK trên X
Số tiền bị chuyển qua Tornado Cash và Thorchain
Kẻ tấn công đã nhanh chóng tìm cách che dấu dòng tiền sau khi rút USDC khỏi Hinkal. CertiK ghi nhận số USDC bị chuyển đổi sang Ethereum (ETH), sau đó một phần được gửi vào Tornado Cash.
PeckShield cho biết 410 ETH, tương đương khoảng 700.000 USD, đã được nạp vào Tornado Cash. Ngoài ra, 44,67 ETH đã được chuyển từ Ethereum sang Bitcoin qua Thorchain và đi đến một địa chỉ Bitcoin bắt đầu bằng bc1qr2sf.
Hinkal là giao thức gì?
Hinkal là một lớp bảo mật dành cho giao dịch on-chain, cho phép người dùng tạo địa chỉ ẩn và thực hiện hoán đổi, chuyển tiền hoặc thanh toán mà không lộ số dư hay đối tác giao dịch trên blockchain công khai.
Giao thức này hoạt động trên Ethereum, Arbitrum, Base, Polygon và OP Mainnet. Hinkal cũng từng công bố đã huy động 5,5 triệu USD từ các vòng seed và strategic, với sự tham gia của Draper Associates, Quantstamp và NGC Ventures.
Thiệt hại gần như xóa sạch TVL của Hinkal
TVL của Hinkal vào thời điểm bị tấn công chỉ khoảng 829.000 USD, gần tương đương số tiền bị rút ra. Điều đó khiến phần lớn tài sản của giao thức bị lấy đi chỉ trong một vụ khai thác.
So với các giao thức cùng nhóm, TVL của Hinkal khi đó nằm khá thấp. DeFiLlama ghi nhận Tornado Cash ở mức 440 triệu USD, Railgun ở mức 77,5 triệu USD và Privacy Pools ở mức 7,8 triệu USD.
Hiện chưa rõ Hinkal đã đưa ra phản hồi công khai nào trên tài khoản X hoặc website chính thức sau vụ việc này.
Tổng kết
Vụ tấn công vào Hinkal cho thấy các giao thức privacy on-chain vẫn đối mặt rủi ro lớn từ lỗ hổng hợp đồng thông minh, đặc biệt khi dòng tiền bị chuyển qua mixer và bridge chỉ trong thời gian ngắn.
