暗号技術プロバイダーのHarukoが標的型サイバー攻撃を受け、15件の顧客に影響が及び、一部の資金流出と読み取り専用の取引所API情報および取引データの漏洩が判明した。
関係者によれば、今週初めに発生したサイバー攻撃に際し、セキュリティ管理が脆弱な一部の小規模ヘッジファンドが資産を失った可能性があると指摘されている。
CoinDeskが入手したメッセージと関係者の証言によると、今回の侵害ではクライアントの読み取り専用の取引所アプリケーションプログラミングインターフェース（API）情報および取引データが流出した。このAPIは顧客とHarukoのシステム間で情報を交換するためのものである。
Harukoの共同創業者兼最高技術責任者（CTO）Adam Carlileがクライアントに送付したメッセージによると、影響を受けたのはHarukoのホワイトリストに登録されていない顧客全員であり、ホワイトリストは許可したコンピューターやウェブサイトとの通信のみを認める仕組みだという。
Harukoは複数回にわたる取材の申し出には応じていない。
関係者の一人は、HarukoがAmazon Web Servicesのような高度なセキュリティ機能を持つクラウドサービスではなく、自社の専用物理サーバー（ベアメタルサーバー）を使用しているため、今回の侵害が可能になったと述べた。
同社は顧客名簿を全面的には公開していないが、自社ウェブサイトではBitcoin Suisse、GSR、Flowdesk、3iQ Digital Assets、M2、Ampersan、MNNC Group（現在はMonarq Asset Managementとして運営）、およびTrovio Asset Managementを顧客として挙げている。
ロンドン拠点のHarukoは、機関投資家向けのデジタル資産企業に対し、ポートフォリオ管理やリスク管理、取引データのインフラを提供している。プラットフォームは中央集権型取引所、カストディアン、ブロックチェーン、DeFiプロトコルと接続し、顧客にポジション、取引、リスクエクスポージャーの統合ビューを提供する。
GSRの広報担当者は「噂された侵害の影響は一切受けていない」と述べた。
3iQの担当者はメールで「当社は今回の侵害の影響を受けておらず、当社ファンドは完全に安全である。APIアクセスはIPホワイトリストで制限されており、侵害された環境への露出は防がれている」と説明した。
Bitcoin Suisse、Flowdesk、M2、Ampersan、MNNC、Trovioは取材時点でコメントしていない。
関係者によれば、少量の顧客資金が盗まれ、その中でも特にセキュリティ管理の弱い小規模ヘッジファンドが影響を受けた可能性が示唆されている。また取引データも漏洩している。
暗号資産業界ではハッキングが依然として大きな課題となっており、取引が一般に取り消し不可能であることや、プラットフォームがデジタル認証情報や署名システムに依存しているため、攻撃者が資産に直接アクセスするリスクがある。
Carlile氏はクライアントに対して、攻撃者がHarukoのあるプロセスの脆弱性を突き、ユーザーアクセス用トークンを抽出し、これを用いてプロセスのメモリからデータを取得したと説明した。そのメモリ内には読み取り専用の取引所API情報やその他のデータが含まれていた可能性があるという。
メッセージの中で、クライアントのログイン資格情報は侵害されておらず、Harukoのインフラに存在した脆弱性を通じてアクセス用トークンが抽出されたと述べられている。
CTOは「これは我々に対するグループによる標的型攻撃であり、特定の顧客ではなくHaruko自体が標的だった。影響を受けたのは15件のクライアントだ」と明かした。
Harukoは脆弱性をすでに修正し、サーバー側の秘密情報を更新したことを発表。顧客には、特定のインターネットアドレスへのアクセス制限となるインバウンドIPホワイトリスト設定が「最大限の防御」となると案内している。さらに技術的詳細をまとめた完全な報告書を公開する予定だという。
同社ウェブサイトによると、Harukoは世界で80以上の顧客にサービスを提供し、100以上の中央集権型取引所、30のブロックチェーン、250のオンチェーンプロトコルに接続している。
暗号資産企業に対する攻撃は増加傾向にあり、TRM Labsの報告によると2026年前半には攻撃件数が過去最多の207件に達し、前年の83件の2倍以上に上った。これらの事件での損失額は9億7200万ドルにのぼる。
TRMは、インフラや運用の侵害が全件数の15％に過ぎないものの、盗難総額の約76％を占めると指摘。セキュリティ企業CertiKによるより広範な集計では、2026年前半の損失は13億2000万ドル、事件数は344件とされている。
