В пятницу, 3 июля, хакеры вывели из протокола конфиденциальности Hinkal около 830 000 стейблкоинов USDC. Общая заблокированная стоимость активов (TVL) в Hinkal составляла всего $829 000 на пяти блокчейнах, то есть злоумышленники фактически опустошили весь протокол.
Специалисты по кибербезопасности компании CertiK выяснили, что злоумышленники использовали внешний аккаунт с адресом 0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20, совершив несколько вызовов «Transact». Прежде неизвестные выполнили так называемый «депозит без доказательства» (proofless deposit) в одном из смарт-контрактов Hinkal, чтобы вывести средства.
Для сокрытия происхождения похищенных активов злоумышленники оперативно конвертировали украденные USDC в эфир. Затем внесли 410 ETH на сумму около $700 000 в криптомиксер Tornado Cash, а 44,67 эфиров перевели через децентрализованный мост Thorchain с блокчейна Эфириума в Биткоин. Украденные средства оказались на адресе, начинающемся с bc1qr2sf.
Hinkal позиционирует себя как протокол конфиденциальности, ориентированный на крупные компании и позволяющий выполнять транзакции без раскрытия данных о балансе кошелька и контрагентах. Протокол работает на пяти блокчейнах: Ethereum, Arbitrum, Base, Polygon и OP Mainnet.
В мае протокол интегрировали разработчики Polygon, чтобы их корпоративные клиенты могли скрывать транзакции со стейблкоинами. Ранее протокол привлек финансирование $5,5 млн от венчурных компаний Draper Associates, Quantstamp и NGC Ventures. За день до взлома Hinkal объявил о партнерстве с Turnkey, поставщиком инфраструктуры кошельков.
В июне произошло 40 крупных атак на кроссчейн-мосты, протоколы децентрализованных финансов (DeFi) и смарт-контракты. В ходе этих атак хакеры вывели около $75,8 млн. Самой крупной атакой в июне стал взлом протокола Humanity.