暗号技術プロバイダーのHarukoが標的型サイバー攻撃を受け、15の顧客に影響が及び、一部の取引所API情報や取引データの流出が発生したと関係者が明かした。
関係者3名の話によると、今週初めにHarukoが受けた攻撃により、セキュリティ管理が十分でない一部の小規模ヘッジファンドが資産の損失を被った可能性があるという。
CoinDeskが入手したメッセージや関係者の証言によれば、今回の侵害でクライアントの読み取り専用取引所アプリケーションプログラミングインターフェース（API）情報と取引データが外部に流出した。APIはクライアントとHarukoのシステム間で情報をやり取りする仕組みである。
Harukoの共同創業者兼最高技術責任者（CTO）Adam Carlileがクライアントに送ったメッセージ（CoinDesk入手）では、被害を受けたのはHarukoのホワイトリストに登録されていない顧客のみであった。ホワイトリストは、許可されたコンピューターやウェブサイトとの通信を限定する仕組みだ。
Harukoは取材に対し、複数回のコメント要請には応じていない。
内部関係者の一人は、HarukoがAmazon Web Servicesなどの追加セキュリティ機能を備えたクラウドサービスではなく、物理サーバー（ベアメタルサーバー）を使用しているため、今回の侵害が可能になったと指摘している。
Harukoは顧客名簿を全面的に公開していないものの、自社サイトにBitcoin Suisse、GSR、Flowdesk、3iQ Digital Assets、M2、Ampersan、MNNC Group（現在はMonarq Asset Managementとして運営）、およびTrovio Asset Managementを顧客として掲載している。
ロンドン拠点の同社は、機関投資家向けデジタル資産企業にポートフォリオ管理、リスク管理、取引データのインフラを提供。中央集権型取引所、カストディアン、ブロックチェーン、DeFiプロトコルと接続し、統合的にポジションや取引、リスクエクスポージャーのビューを提供している。
GSRは今回の侵害の影響を受けていないと広報担当者が声明で述べた。
3iQの担当者はメールで「当社は今回の侵害の影響を受けておらず、ファンドの安全性は確保されている。APIアクセスはIPホワイトリストで制限されており、侵害環境への露出は防止されている」と説明している。
Bitcoin Suisse、Flowdesk、M2、Ampersan、MNNC、Trovioは取材時点でコメントを控えている。
関係者によれば、少量の顧客資金が盗まれたという。匿名希望の関係者は、特にセキュリティ管理が脆弱な小規模ヘッジファンドが被害を受けた可能性を指摘。また、取引データも流出している。
暗号資産業界ではハッキング被害が依然として大きな問題であり、取引は一般に取消不能で、認証情報や署名システムに依存しているため、攻撃者に資産への直接アクセスを許す危険がある。
Carlileはクライアント向けメッセージで「攻撃者はHarukoのプロセスの脆弱性を突き、ユーザーアクセス用トークンを抽出。これによりプロセスのメモリ内データを取得した。メモリ内のデータには読み取り専用の取引所API情報や他のデータが含まれていた可能性がある」と説明した。
メッセージによると、クライアントのログイン資格情報自体は侵害されておらず、Harukoのインフラに存在した脆弱性からアクセス用トークンが盗まれたという。
CTOは「これはHarukoを標的とした特定グループによる攻撃であり、特定の顧客を直接狙ったものではない。影響を受けたのは15件の顧客だ」と述べている。
Harukoは既に脆弱性を修正し、サーバー側の秘密情報を更新したと発表。顧客には特定インターネットアドレスへのアクセス制限を示すインバウンドIPホワイトリスト設定が最大限の防御となると説明している。技術的詳細をまとめた報告書も公開予定だ。
同社サイトによれば、世界80以上の顧客にサービスを提供し、100以上の中央集権型取引所、30のブロックチェーン、250のオンチェーンプロトコルと接続している。
暗号資産企業を狙った攻撃は増加している。TRM Labsのデータによると、2026年前半の攻撃件数は過去最多の207件に達し、前年の83件の倍以上となった。被害額は9億7200万ドルにのぼる。
TRMはインフラや運用の侵害は全体の15％に過ぎないが、盗難総額の約76％を占めていると指摘。セキュリティ企業CertiKが幅広い定義で集計したデータでは、2026年前半の損失は13億2000万ドル、件数は344件とされている。