Haruko网络攻击暴露API数据和交易信息…_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Haruko网络攻击暴露API数据和交易信息…

2026-09-19 22:06:26

Haruko 攻击事件如何波及客户数据？

机构级加密货币技术提供商 Haruko 遭遇网络攻击，导致 15 家客户受到影响。此次事件暴露了只读交易所 API 密钥及交易信息，据报道还造成少量客户资金被盗。这家总部位于伦敦的公司为数字资产企业提供投资组合管理、风险监控和交易数据基础设施服务，连接机构客户与中心化交易所、托管方、区块链以及去中心化金融协议。

据联合创始人兼首席技术官 Adam Carlile 向客户发送的消息称，攻击者利用了 Haruko 某一流程中的漏洞，提取了一个用户访问令牌（User-Access Token）。随后，攻击者使用该令牌捕获了该进程内存中存储的信息，其中可能包含只读交易所 API 密钥及其他交易数据。客户的登录凭证并未在其自有系统中泄露，而是攻击者通过 Haruko 的基础设施获得了访问权限。

Carlile 向客户表示：“这是一次针对我们的定向攻击。”他确认共有 15 家客户受到影响。Haruko 表示已修补该漏洞并刷新了其服务器端密钥。该公司还计划发布一份技术事后分析报告，更详细地说明此次事件的经过。

IP 白名单为何至关重要？

受影响与未受影响客户之间最明显的区别在于是否配置了 IP 白名单。根据 Haruko 发送给客户的通知，受影响的 15 家客户均未配置白名单功能。IP 白名单将 API 访问限制在指定的互联网地址范围内，从而降低 stolen 凭据或令牌被未经授权的系统使用的风险。

Haruko 在攻击后告知客户，配置入站 IP 白名单可提供“最大程度的保护”。GSR 表示其未受此次事件影响。3iQ Digital Assets 也表示其资金保持安全，并特别指出 IP 白名单防止了其 API 访问暴露于受损环境中。

这一区别使得此次漏洞对依赖第三方基础设施但可能未像大型机构那样维持同等安全控制措施的中小型对冲基金和交易公司具有特别的警示意义。虽然只读 API 密钥通常无法直接授权提款，但暴露的交易数据、账户信息以及互联的基础设施仍可能创造额外的攻击面。

投资者启示

Haruko 事件表明，机构级加密货币的风险并不局限于交易所和私钥本身。交易公司日益依赖聚合头寸并连接多个交易场所的第三方系统，这意味着一旦基础设施遭到破坏，可能导致多家客户同时暴露风险。IP 白名单所提供的明显保护作用也显示，基本的访问控制措施能够实质性地改变同一漏洞事件的结果。

为何 Haruko 是机构加密基础设施的重要组成部分？

Haruko 声称其全球服务超过 80 家客户，并与超过 100 个中心化交易场所、30 多条区块链以及 250 个链上协议集成。其官网列出的客户包括 Bitcoin Suisse、GSR、Flowdesk、3iQ Digital Assets、M2、Ampersan 和 Trovio Asset Management。该平台有效地充当机构交易公司与众多交易所及协议之间的中间层，将头寸、交易和风险信息整合到单一系统中。

即使不直接保管客户资产，基础设施提供商也极具吸引力，成为攻击目标。一旦攻击者攻破一个服务提供商，就可能获取多个基金的详细信息、其交易所关系以及潜在的交易活动数据。此次攻击符合 2026 年主要加密漏洞事件中已显现的模式：随着传统智能合约漏洞之外，被攻陷的基础设施、凭据和运营系统正成为日益重要的攻击向量。

加密攻击者是否正转向基础设施领域？

Haruko breach 发生在加密安全事件异常活跃的一年。据行业估算，2026 年上半年记录了超过 200 起攻击事件，损失接近 10 亿美元。CertiK 更广泛的 2026 年上半年数据集估计，在 344 起安全事件中，损失约为 13.2 亿美元。仅钱包被攻陷一项就导致了数亿美元的损失，而其他攻击越来越多地针对区块链应用程序周围的基础设施系统，而非智能合约本身的漏洞。

安全研究人员早已警告，随着机构采用的增加，供应链、网络钓鱼和基础设施攻击已成为加密威胁模型中越来越大的组成部分。因此，Haruko 承诺发布的事后分析报告不仅对其自身客户具有重要意义。关键问题包括：访问令牌是如何被提取的？进程内存中确切有哪些信息可用？被盗的只读凭据是否在后续攻击中被使用？尽管暴露的 API 被描述为只读，但报告的基金损失究竟是如何发生的？对于机构加密公司而言，此次事件已将 API 安全、令牌处理和强制白名单从技术配置选择转变为对手风险问题。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文