Harukoサイバー攻撃で15社の顧客が被害、Bitcoin(BTC)取引所APIデータが流出

15社の顧客に被害、APIデータが流出

機関投資家向け暗号資産テック企業のHarukoが今週初め、標的型サイバー攻撃を受け、15社の顧客に影響が及んだことが関係者の話で分かった。顧客の取引所API情報と取引データが流出したのである。ロンドンに本社を置くHarukoは、機関向けデジタル資産企業にポートフォリオ管理、リスク管理、取引データインフラを提供しており、そのプラットフォームは中央型取引所、カストディアン、ブロックチェーン、DeFiプロトコルと接続し、ポジション、取引履歴、リスクエクスポージャーを一つの画面に統合して表示する仕組みだ。今回流出したのは、顧客システムとHarukoのプラットフォームが通信する経路であるアプリケーションプログラミングインターフェース(API)だ。接続は読み取り専用で、Bitcoin(BTC)などの資産を保有・売買する取引所口座につながるもので、現物および先物取引の記録も併せて流出した。

金銭的な損害の全体像はまだ確定していない。関係者の話では、少額の顧客資金が盗まれたとされ、セキュリティ管理が手薄な中小ヘッジファンドが特に露出が大きかった可能性があるという。Harukoは顧客単位の損失を公表しておらず、繰り返しの取材にも回答しなかった。暗号資産の取引は原則として取り消しができず、プラットフォームはデジタル資格情報と署名システムに依存しているため、この種の認証情報が渡れば攻撃者は資産に直接アクセスできる。つまり取引所側の認証情報の漏えいは規模の大小を問わず、機関投資家のリスク管理チームにとって重大インシデントとして扱われる。被害はHarukoのホワイトリスト未登録の顧客全社に及んだ。同社は顧客名簿の全容を公表していないが、ウェブサイト上ではBitcoin Suisse、GSR、Flowdesk、3iQ Digital Assets、M2、Ampersan、MNNC Group(現Monarq Asset Management)、Trovio Asset Managementを顧客として名記している。GSRの広報担当者は「うわさされているような侵害の影響は受けていない」と述べたが、その他の企業は執筆時点でコメントしていない。読み取り専用の権限では、流出した鍵だけで資金を動かすことはできない。ただし盗まれた取引データは、機関の資産がどこに置かれているかを攻撃者に正確に示す地図となる。当方の読みでは、監視体制の薄い中小ファンドが最終的な損失を被るのは、まさにこのためだ。

認証情報窃取ではなく、トークンの抽出

Haruko自身による説明では、標的は特定の顧客ではなく同社だった。共同創業者で最高技術責任者(CTO)のAdam Carlile氏が顧客宛てのメッセージで、Harukoに対する集団による標的型攻撃を明らかにし、影響を15社と示したうえで、侵入経路をこう説明した。攻撃者は同社のプロセスの一つに存在する脆弱性を悪用し、ユーザーアクセストークンを抽出、そのトークンを使って当該プロセスのメモリに保持されていたデータを取得した。このメモリには、読み取り専用の取引所API情報やその他の顧客データが含まれていた可能性がある。顧客自身のシステム上のログイン認証情報は侵害されておらず、トークンはHaruko側のインフラから持ち出された。

ここではアーキテクチャーの選択が結果を左右した。事情に詳しい人の話によると、HarukoはAmazon Web Servicesのようなクラウドサービスではなく、同社専用の物理マシンであるベアメタルサーバーで運用していた。専用ハードウェアはテナント共有ならではの露出を減らせる一方、ハードニング、パッチ適用、アクセス制御の全負担を運営側チームが担うことになる。被害者は同社のホワイトリスト未登録の顧客だった。ホワイトリストは承認済みマシンとのみ通信を許す仕組みであり、定義上、被害を受けた15社はその保護境界の外にいたことになる。

Harukoは脆弱性の修正とサーバー側シークレットの更新を完了したと説明し、顧客に対し、特定のIPアドレスのみアクセスを許すインバウンドIPホワイトリストの設定が「最大限の保護」になる旨を通知した。技術的な事後検証(ポストモーテム)の完全版が予定されている。同社によれば、世界で80社超の顧客にサービスを提供し、100以上の中央型取引所、基盤ネットワーク上の主要なLayer 2環境を含む30のブロックチェーン、そして250のオンチェーンプロトコルと接続している。後者はEther.fi (ETHFI)のようなプロトコルが属するDeFiのカテゴリーを含む。 市場をリアルタイムで追いたい読者は、Gateで現物・先物価格をライブで確認できる。

完全版ポストモーテムに注目

Harukoの一件は、ハッキングが過去最多となった年に発生した。業界のインシデント統計では、2026年上半期に207件のハッキングが記録され、前年同期の83件の2倍超に達した。損失額は9億7,200万ドルに上る。そのうちインフラおよび運用面の侵害はインシデント件数として約15%にすぎないが、盗まれた金額では約76%を占めている。当方の読みでは、今回のアクセストークンとメモリを突く手口は、この比率を象徴する典型例だ。今後の決め手となる一次証拠は、予定されている技術ポストモーテムだ。脆弱なプロセスの特定、盗まれた資金のオンチェーン移動の確認、損失額の定量評価が示されるはずだ。それまでは、確認済みの対応策はコード修正、シークレット更新、IPホワイトリスト化にとどまる。