Хакеры полностью опустошили протокол конфиденциальности Hinkal

Специалисты по кибербезопасности компании CertiK выяснили, что злоумышленники использовали внешний аккаунт с адресом 0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20, совершив несколько вызовов «Transact». Прежде неизвестные выполнили так называемый «депозит без доказательства» (proofless deposit) в одном из смарт-контрактов Hinkal, чтобы вывести средства.

Для сокрытия происхождения похищенных активов злоумышленники оперативно конвертировали украденные USDC в эфир. Затем внесли 410 ETH на сумму около $700 000 в криптомиксер Tornado Cash, а 44,67 эфиров перевели через децентрализованный мост Thorchain с блокчейна Эфириума в Биткоин. Украденные средства оказались на адресе, начинающемся с bc1qr2sf.

Hinkal позиционирует себя как протокол конфиденциальности, ориентированный на крупные компании и позволяющий выполнять транзакции без раскрытия данных о балансе кошелька и контрагентах. Протокол работает на пяти блокчейнах: Ethereum, Arbitrum, Base, Polygon и OP Mainnet. 

В мае протокол интегрировали разработчики Polygon, чтобы их корпоративные клиенты могли скрывать транзакции со стейблкоинами. Ранее протокол привлек финансирование $5,5 млн от венчурных компаний Draper Associates, Quantstamp и NGC Ventures. За день до взлома Hinkal объявил о партнерстве с Turnkey, поставщиком инфраструктуры кошельков.

В июне произошло 40 крупных атак на кроссчейн-мосты, протоколы децентрализованных финансов (DeFi) и смарт-контракты. В ходе этих атак хакеры вывели около $75,8 млн. Самой крупной атакой в июне стал взлом протокола Humanity.