하루코 해킹으로 15개 암호화폐 고객 피해, 비트코인(BTC) 거래소 API 데이터 유출

고객 15곳 피해, API 데이터 유출

기관 대상 암호화폐 기술 제공사 Haruko가 이번 주 초 표적 사이버 공격을 받아 고객 15곳이 피해를 입었고, 읽기 전용 거래소 API 정보와 거래 데이터가 외부에 노출된 것으로 전해진다. 런던에 본사를 둔 Haruko는 기관 디지털자산 운용사에 포트폴리오·리스크 관리·거래 데이터 인프라를 공급하는 업체로, 플랫폼이 중앙화 거래소, 커스터디, 블록체인, DeFi 프로토콜과 연동해 고객에게 포지션·거래·리스크 노출을 하나의 통합 화면으로 보여주는 구조다. 유출된 인터페이스는 애플리케이션 프로그래밍 인터페이스, 즉 고객 시스템과 Haruko 플랫폼이 통신하는 통로로, 비트코인(BTC) 등 자산을 보유·거래하는 거래소 계정에 대한 읽기 전용 연결과 현물·선물(계약) 거래 기록을 제공했다.

재정적 피해 규모는 아직 명확하지 않다. 관계자들은 소액의 고객 자금이 탈취됐으며, 보안 통제가 취약한 중소 헤지펀드가 특히 취약했을 가능성을 지목한다. Haruko는 고객 단위 손실을 공식 확인하지 않았고 반복된 보도자료 요청에도 응답하지 않았다. 암호화폐 거래는 대체로 되돌릴 수 없고, 플랫폼이 공격자에게 자산 직접 접근을 허용할 수 있는 디지털 자격증명·서명 시스템에 의존하는 만큼, 거래소 측 자격증명이 적은 양이라도 새어 나가면 기관 리스크 팀은 중대 사고로 취급한다. 이번 유출은 Haruko의 화이트리스트 미등록 고객 전체에 영향을 미쳤다. 회사는 전체 고객 명단을 공개하지 않지만, 웹사이트에는 Bitcoin Suisse, GSR, Flowdesk, 3iQ Digital Assets, M2, Ampersan, Monarq Asset Management로 운영 중인 MNNC Group, Trovio Asset Management가 고객으로 소개돼 있다. GSR 대변인은 소문난 유출 사고와 관련해 동사가 피해를 입지 않았다고 밝혔으며, 기사 작성 시점까지 나머지 회사들은 입장을 내놓지 않았다. 읽기 전용 범위라는 것은 유출된 키만으로는 자금을 옮길 수 없다는 뜻이지만, 탈취된 거래 데이터는 공격자에게 기관 자산의 위치를 정밀하게 알려주는 지도가 된다. COINOTAG의 판단으로는, 모니터링이 얇은 중소 펀드가 결국 손실자로 남을 가능성이 높은 이유가 바로 여기에 있다.

자격증명 탈취가 아닌 토큰 추출

공동창업자이자 CTO인 Adam Carlile이 고객들에게 전달한 Haruko 측 사고 설명에 따르면, 공격의 표적은 개별 고객이 아니라 회사 자신이었다. Carlile은 Haruko에 대한 집단의 표적 공격을 언급하며 영향 범위를 고객 15곳으로 한정하고 침투 경로를 이렇게 설명했다. 공격자는 회사 프로세스 중 하나의 취약점을 이용해 사용자 접근 토큰을 추출한 뒤, 해당 프로세스의 메모리에 보관된 데이터를 확보했고, 이 메모리에는 읽기 전용 거래소 API 정보와 기타 고객 데이터가 포함됐을 수 있다. 고객 시스템의 로그인 자격증명 자체는 침해되지 않았으며, 토큰은 Haruko 인프라에서 빼내갔다.

여기서 아키텍처가 변수로 작동했다. 사정에 밝은 한 관계자에 따르면, Haruko는 Amazon Web Services 같은 클라우드가 아닌 회사 전용 물리 서버, 즉 베어메탈 서버를 운영해 왔다. 전용 하드웨어는 다중 테넌트 노출을 줄여주지만, 하드닝·패치·접근 통제의 전적 책임을 운영팀 자체에 지운다는 대가가 따른다. 피해 대상이 화이트리스트 미등록 고객이었다는 점도 중요하다. 화이트리스트는 승인된 기기와의 통신만 허용하는 장치인 만큼, 피해를 입은 15곳은 정의상 그 보호 경계 밖에 있었다.

기술 보고서에 주목

Haruko는 취약점을 수정하고 서버 측 시크릿을 갱신했다고 밝혔으며, 고객에게는 특정 인터넷 주소로 접근을 제한하는 인바운드 IP 화이트리스트 설정이 “최대한의 보호”를 제공한다고 안내했다. 전체 기술 포스트모템도 예정돼 있다. 회사에 따르면 Haruko는 전 세계 80개 이상 고객을 보유하고, 100개 이상 중앙화 거래 장소, 기반 네트워크 위의 주요 레이어 2 환경을 포함한 30개 블록체인, 그리고 Ether.fi (ETHFI) 같은 프로토콜이 속한 DeFi 계열을 아우르는 250개 온체인 프로토콜과 연동한다. 시장을 실시간으로 추적하려는 독자는 Gate에서 현물·선물 가격을 실시간으로 확인할 수 있다.

이번 사고는 공격 기록을 갈아치운 해에 발생했다. 업계 사고 통계에 따르면 2026년 상반기 해킹이 207건으로, 1년 전 같은 기간의 83건을 두 배 넘게 웃돌았고 손실액은 9억 7,200만 달러에 달했다. 흥미로운 대목은 인프라·운영 침해가 사고 건수로는 약 15%에 불과하지만 도난 금액으로는 약 76%를 차지한다는 점이다. COINOTAG의 독해로는, 이번 사건의 접근 토큰·메모리 패턴이 바로 그 교과서적 사례다. 결정적 1차 증거는 약속된 기술 포스트모텐이다. 취약한 프로세스의 특정, 탈취 자금의 온체인 이동 확인, 손실액 산정이 이루어져야 한다. 그 전까지 확인된 복구 조치는 코드 수정, 시크릿 갱신, IP 화이트리스트 세 가지가 전부다.