Last Updated on 2026年9月21日 by oba3
機関投資家向け暗号資産インフラ企業のハルコ（Haruko）が標的型サイバー攻撃を受け、15社の顧客に関連する取引所API情報や取引データが露出したことが明らかになった。一部の小規模ヘッジファンドでは少額の資金損失も報告されているが、損失額や資金流出までの具体的な経路は現時点で公表されていない。今回の重要点は、一つの取引所が侵害されたことではない。複数の取引所、カストディ、ブロックチェーン、DeFiを一つの画面へ集約する中間インフラが攻撃されることで、複数顧客の情報へ同時に影響が広がった点にある。
何が起きたのか？
報道によると、攻撃者はハルコ内部のプロセスに存在した脆弱性を悪用し、ユーザーアクセストークンを取得した。そのトークンを使ってプロセスのメモリー内にある情報へアクセスし、顧客の読み取り専用取引所API情報や取引データを取得したとされる。
ハルコ共同創業者兼CTOのアダム・カーライル（Adam Carlile）氏が顧客へ伝えた内容では、影響を受けたのは15社で、いずれもIPホワイトリストを設定していなかった顧客だった。顧客自身のシステムからログイン認証情報が直接盗まれたのではなく、攻撃対象はハルコ側のインフラだったと説明されている。
一部顧客では資金損失も報告されている。ただし露出したとされるAPI情報は読み取り専用であり、それ自体は通常、出金を許可するものではない。どの追加経路や顧客側の設定が実際の損失につながったのかは明らかになっておらず、API情報の露出だけを資金流出の直接原因と断定することはできない。
ハルコは脆弱性を修正し、サーバー側の秘密情報を更新したと顧客へ説明している。今後、技術的な事後検証を公表する計画も示されている。
なぜ重要なのか？
ハルコは単独の取引所ではなく、機関投資家が複数の取引先に分散したポジションやリスクをまとめて管理するための技術基盤だ。同社によると、100を超える中央集権型取引市場、30以上のブロックチェーン、250以上のオンチェーンプロトコルへ接続し、世界で80社を超える顧客へサービスを提供している。
こうした集約サービスには大きな利点がある。ファンドは取引所ごとに別々の画面を確認せず、保有資産、取引履歴、カウンターパーティーへのエクスポージャーを共通データとして管理できる。
一方、その接続情報を一カ所へ集めることで、セキュリティ上の集中点も生まれる。取引所そのものが侵害されていなくても、複数市場とのAPI接続を管理する中間事業者が侵害されれば、一度の攻撃から複数企業の取引情報へ到達できる可能性がある。
市場構造への影響
機関投資家の暗号資産運用では、資産を一つの取引所へ置くのではなく、複数の取引所、カストディ、OTC業者、DeFiプロトコルへ分散させることが一般的になっている。その複雑さを管理するため、ポートフォリオ管理やリスク管理を一元化する技術企業の役割も大きくなった。
今回の事件は、その効率化が別の集中リスクを生み得ることを示している。資産そのものを保管しない事業者でも、API資格情報、ポジション、取引履歴、接続先といった情報を集約していれば、攻撃者にとって価値の高い標的になる。
特に取引データの流出は、直接的な資金盗難がなくても無視できない。ファンドのポジションや取引行動が把握されれば、取引戦略、利用している市場、保有状況などに関する情報が外部へ渡るためだ。金融インフラにおけるセキュリティは、秘密鍵を守ることだけでは完結しなくなっている。
資金・規制・流動性との関係
今回、被害の有無を分ける重要な要素として浮上したのがIPホワイトリストだ。これは指定したネットワークアドレスからのみAPIへのアクセスを許可する仕組みで、盗まれた資格情報が別の環境から使われるリスクを抑えられる。
ハルコの顧客として公表されているGSRは今回の侵害による影響を受けていないと説明した。3iQデジタル・アセッツ（3iQ Digital Assets）も被害を受けておらず、APIアクセスをIPホワイトリストで制限していたことが露出防止につながったとしている。
ただしホワイトリストだけで第三者リスクを解消できるわけではない。機関投資家側には、API権限の最小化、接続元制限、資格情報の分離、異常アクセスの監視などを組み合わせる必要がある。資金を直接保管しないSaaS事業者についても、取引所やカストディと同様に重要な第三者として管理する必要性が高まる。
初心者向け補足
APIとは、異なるシステム同士が自動的に情報をやり取りするための接続口だ。暗号資産ファンドでは、取引所の残高や注文、取引履歴をポートフォリオ管理システムへ取り込むために広く利用されている。
APIには権限の違いがある。残高などを見るだけの読み取り専用、注文を出せる取引権限、出金を認める権限などがあり、今回主に露出したとされるのは読み取り専用の情報だ。そのため、API情報が露出したという事実と資産を直接移動できたという事実は分けて考える必要がある。
また、15社すべてで資金が盗まれたわけでもない。確認されているのは15社がデータ露出の影響を受けたことで、資金損失については一部の小規模顧客で少額が失われたとの報道にとどまる。正確な損失規模や手口は今後の技術報告を待つ必要がある。
Web3Timesの視点
今回の事件を取引所ハッキングと同じ枠組みで見ると、機関暗号市場で変化している攻撃面を捉えにくい。資産が複数の取引所やカストディへ分散していても、それらを管理するためのAPIやデータが一つの中間基盤へ集中すれば、攻撃者はその接続点を狙える。
機関向けインフラが成熟するほど、ポートフォリオ管理、会計、リスク監視、注文管理などを担う共通サービスは増える。運用効率は高まる一方、一社の侵害が複数ファンドや複数取引市場へ横断的に影響する第三者リスクも大きくなる。
今後確認すべきなのは、15社という被害数だけではない。実際にどのAPI情報が取得されたのか、読み取り専用情報から資金損失へ至った経路は何だったのか、IPホワイトリスト以外にどの防御策が機能したのか、そしてハルコの技術的な事後検証で攻撃範囲がどう確定するかが重要になる。
暗号資産の機関化によってセキュリティ問題が消えるわけではない。むしろ取引所単体の防御から、複数市場をつなぐAPI、データ集約サービス、リスク管理基盤まで守る必要が生まれている。ハルコへの攻撃は、機関投資家向けの効率化インフラそのものが新しい集中リスクになり得ることを示した事例として読む必要がある。
