暗号技術を提供するHarukoが標的型サイバー攻撃を受け、15件の顧客に影響が及び、一部資金流出が確認された。
関係者によれば、今週初めに同社が受けた攻撃により、セキュリティ管理が弱い小規模ヘッジファンドが資産を失った可能性があるという。
CoinDeskが確認したメッセージや関係者の証言では、今回の侵害によりクライアントの読み取り専用取引所API情報および取引データが流出した。APIとは顧客とHarukoのシステム間で情報をやり取りする仕組みである。
Harukoの共同創業者兼CTOのAdam Carlileがクライアント向けに送付したメッセージ（CoinDesk入手）には、影響を受けたのはHarukoのホワイトリストに登録されていない顧客全てだったと記されている。ホワイトリストとは許可されたコンピューターやウェブサイトのみ通信を認める仕組みである。
Harukoは複数回の取材依頼に対しコメントを控えている。
関係者の一人によると、HarukoはAmazon Web Servicesなどの追加セキュリティ機能があるクラウドサービスではなく、自社専用の物理サーバー（ベアメタルサーバー）を利用しているため今回の侵害が起きた可能性があるという。
同社は顧客名簿を全公開していないが、自社サイトではBitcoin Suisse、GSR、Flowdesk、3iQ Digital Assets、M2、Ampersan、MNNC Group（現在はMonarq Asset Management）、Trovio Asset Managementを顧客として挙げている。
ロンドン拠点のHarukoは機関投資家向けデジタル資産関連企業に対し、ポートフォリオ管理、リスク管理、取引データのインフラを提供している。プラットフォームは中央集権型取引所、カストディアン、ブロックチェーン、DeFiプロトコルと接続し、顧客にポジションや取引、リスクエクスポージャーの統合ビューを提供する。
GSRは「噂された侵害の影響は一切受けていない」と企業広報が述べている。
3iQの担当者はメールで「当社は今回の侵害の影響を受けておらず、当社ファンドは完全に安全である。APIアクセスはIPホワイトリストで制限されており、侵害環境への露出は防がれている」と説明した。
Bitcoin Suisse、Flowdesk、M2、Ampersan、MNNC、Trovioは取材時点でコメントしていない。
関係者によると、少量の顧客資金が盗まれ、特にセキュリティ管理が弱い小規模ヘッジファンドが被害に遭った可能性があるという。また、取引データも奪われている。
暗号資産業界でのハッキングは依然大きな課題であり、取引は原則取り消し不能で、プラットフォームはデジタル認証情報や署名システムに依存しているため攻撃者に資産への直接アクセスを許す恐れがある。
Carlileはクライアントに対し、攻撃者はHarukoの一部プロセスの脆弱性を悪用し、ユーザーアクセス用トークンを抽出、それを使いメモリ内データを取得したと説明した。メモリには読み取り専用の取引所API情報やその他のデータが含まれていた可能性がある。
メッセージによれば、クライアントのログイン資格情報は侵害されておらず、Harukoのインフラの脆弱性を介してアクセス用トークンが抽出されたという。
CTOは「Haruko自体が標的となったグループによる標的型攻撃で、15件のクライアントが影響を受けた」と述べた。
Harukoは既に脆弱性を修正し、サーバー側の秘密情報を更新した。顧客には特定インターネットアドレスへのアクセスを制限するインバウンドIPホワイトリスト設定が最大限の防御を提供すると伝えている。技術的詳細をまとめた報告書も公開予定だという。
同社サイトによれば、世界80以上の顧客にサービスを提供し、100以上の中央集権型取引所、30のブロックチェーン、250のオンチェーンプロトコルと接続している。
暗号資産企業への攻撃は増加傾向にあり、TRM Labsのデータによると、2026年前半には過去最多の207件に達し前年83件の約2.5倍となった。損失額は9億7200万ドルに上る。
TRMはインフラや運用の侵害は件数全体の15％にとどまるが、窃盗額の約76％を占めると指摘している。セキュリティ企業CertiKのより広範な集計では、2026年前半の損失は13億2000万ドル、事件数は344件とされている。