[하루코(Haruko)] 기관 암호화폐 인프라 해킹으로 고객 15곳 API·거래정보 유출, 일부 자금 손실

[하루코(Haruko)] 기관 암호화폐 인프라 해킹으로 고객 15곳 API·거래정보 유출, 일부 자금 손실_2026년 09월

경험한사람 2026. 9. 20. 12:48

런던에 본사를 둔 기관 암호화폐 인프라 제공업체 하루코(Haruko)가 표적 사이버공격을 받아 IP 화이트리스트를 설정하지 않은 고객 15곳의 읽기전용 거래소 API 정보와 거래 데이터가 노출됐다. 공격자는 하루코 내부 프로세스의 취약점을 악용해 액세스 토큰을 탈취했으며, 읽기전용 권한임에도 일부 소규모 헤지펀드 고객은 실제 자금 손실을 입은 것으로 확인됐다.

□ 개요

2026년 09월 18일 코인데스크 보도에 따르면, 기관 대상 암호화폐 기술 제공업체 하루코가 사이버공격의 표적이 되어 고객 15곳이 영향을 받았으며, 읽기전용 거래소 API 정보와 거래 데이터가 노출돼 소규모 고객 자금이 도난당한 것으로 알려졌다.
하루코는 디지털 자산 기업들에게 포트폴리오 관리, 리스크 모니터링, 거래 데이터 인프라를 제공하며 기관 고객들을 중앙화 거래소, 커스터디언, 블록체인, 탈중앙화 금융(DeFi) 프로토콜과 연결하는 역할을 한다. 공동창업자이자 최고기술책임자(CTO)인 애덤 칼라일이 고객들에게 보낸 메시지에 따르면, 공격자는 하루코의 한 프로세스에 존재하는 취약점을 악용해 사용자 액세스 토큰을 탈취했다. 이후 해당 토큰을 이용해 프로세스 메모리에 저장된 정보를 가져갔으며, 여기에는 읽기전용 거래소 API 정보와 기타 거래 데이터가 포함될 수 있었다.
고객의 자체 시스템에서 로그인 자격증명이 유출된 것은 아니었으며, 대신 공격자는 하루코의 인프라를 통해 접근 권한을 획득했다. 칼라일은 "이는 특정 그룹이 우리를 표적으로 삼아 벌인 공격"이라며 "영향을 받은 고객은 15곳"이라고 밝혔다. 하루코는 해당 취약점을 패치했으며 서버 측 비밀 값(secrets)을 모두 재발급했다고 밝히고, 사건을 더 자세히 설명하는 기술적 사후 분석 보고서를 발표할 계획이라고 전했다.
피해를 입은 고객과 피해를 면한 고객 사이의 가장 뚜렷한 차이는 IP 화이트리스트 설정 여부였다. 회사가 발송한 메시지에 따르면 피해 고객 15곳은 모두 화이트리스트를 설정하지 않은 고객들이었다. 하루코는 공격 이후 고객들에게 인바운드 IP 화이트리스트를 설정하면 "최대 수준의 보호"를 제공할 수 있다고 안내했다. GSR은 이번 사건의 영향을 받지 않았다고 밝혔으며, 3iQ 디지털 애셋 역시 자사 펀드가 안전하게 유지됐다고 밝히면서 특히 IP 화이트리스트 설정이 침해 환경 노출을 막아줬다고 언급했다.
읽기전용 API 키는 일반적으로 인출을 직접 승인할 수 없지만, 노출된 거래 데이터·계정 정보·상호 연결된 인프라는 여전히 추가적인 공격 표면을 만들어낼 수 있다는 점에서 이번 사건은 특히 우려를 낳고 있다. 실제로 코인데스크 취재에 따르면, 소규모 헤지펀드 고객 일부는 보안 통제가 상대적으로 취약해 이번 공격으로 자금을 잃은 것으로 알려졌으나 구체적인 손실 규모나 탈취 방식은 공개되지 않았다. 하루코는 전 세계 80곳 이상의 고객에게 서비스를 제공하며 100개 이상의 중앙화 거래처, 30개 이상의 블록체인, 250개의 온체인 프로토콜과 연동돼 있다고 밝힌다. 회사 웹사이트에는 비트코인 스위스, GSR, 플로우데스크, 3iQ 디지털 애셋, M2, 앰퍼산, 트로비오 애셋 매니지먼트 등이 고객사로 명시돼 있다.
이번 사고는 암호화폐 보안 사건이 이례적으로 활발히 발생한 해에 벌어졌다. TRM랩스에 따르면 2026년 상반기 동안 207건의 공격이 기록됐으며 약 9억7200만달러의 손실이 발생했는데, 인프라·운영 시스템 침해가 전체 사건의 약 15%에 불과했음에도 탈취 자금의 약 76%를 차지한 것으로 나타났다. 서틱(CertiK)은 같은 기간 344건의 보안 사건에서 약 13억2000만달러의 손실이 발생한 것으로 별도 집계했다. 보안 연구자들은 기관 채택이 확대되면서 공급망 공격, 피싱, 인프라 공격이 암호화폐 위협 모델에서 점점 더 큰 비중을 차지할 것이라고 경고한 바 있다.

□ 사고내용 요약

1. 회사명 : 하루코(Haruko, 런던 소재 기관 암호화폐 인프라 제공업체)
2. 사고유형
- 내부 프로세스 취약점을 이용한 액세스 토큰 탈취(표적 공격)
- 읽기전용 거래소 API 정보·거래데이터 유출 및 일부 자금 손실 사고
3. 피해규모 : IP 화이트리스트 미설정 고객 15곳(전체 80여곳 중), 일부 소규모 헤지펀드 자금 손실(액수 미공개)
4. 유출항목
- 읽기전용 거래소 API 정보
- 거래(트레이딩) 데이터
※ 고객 자체 시스템의 로그인 자격증명은 미포함(하루코 인프라 경유 유출)

5. 특이사항
- IP 화이트리스트 설정 여부가 피해와 무피해를 가른 결정적 요인, 화이트리스트 설정 고객(GSR, 3iQ 디지털 애셋 등)은 전원 피해 없음
- "읽기전용" 권한임에도 일부 소규모 헤지펀드는 실제 자금 손실을 입어, 읽기전용이 반드시 안전을 의미하지 않는다는 점을 시사
- 대형 기관보다 보안 통제가 상대적으로 취약한 소규모 헤지펀드·트레이딩사가 더 큰 리스크에 노출
- 고객 자산을 직접 수탁하지 않는 인프라 제공업체도 여러 기관 정보에 동시 접근 가능해 매력적인 공격 대상이 된다는 점을 재확인
- 2026년 상반기 암호화폐 업계 손실액의 76%가 인프라·운영시스템 침해(전체 사건의 15% 불과)에서 발생, 스마트컨트랙트보다 인프라가 주요 공격 경로로 부상하는 추세를 보여주는 사례

□ 사고대응 타임라인

- 2026년 09월 중순(주 초)
. 공격자, 하루코 프로세스 취약점을 이용해 액세스 토큰 탈취 및 프로세스 메모리 정보 획득(침해 발생)
. 화이트리스트 미설정 고객 15곳 영향, 일부 소규모 헤지펀드 자금 손실 발생
- 2026년 09월 18일
. 하루코, 취약점 패치 및 서버측 비밀값(secrets) 전체 재발급 완료
. 웹사이트를 통한 대응 발표(remediation announcement) 게시
. 고객 대상 IP 화이트리스트 설정 권고
. 코인데스크, 사건 단독 보도
- 2026년 09월 19일~20일
. 파이낸스피즈, KuCoin, CryptoTimes 등 국내외 매체 후속 보도
- 진행 중
. 하루코, 상세 기술적 사후 분석 보고서(post-mortem) 발표 예정
. 자금 손실 규모 및 탈취 방식 미공개, 추가 확인 필요

□ 대응내역

- 악용된 취약점 패치 완료
- 서버측 비밀값(secrets) 전체 재발급
- 웹사이트를 통한 공식 대응 발표 게시
- 고객 대상 인바운드 IP 화이트리스트 설정 권고
- 상세 기술적 사후 분석 보고서 발표 예정
※ 자금 손실 고객에 대한 보상·구제 조치, 규제기관 신고 여부 등은 추가 확인 필요

□ 재발방지대책(권고사항)

1. 기술적 조치
- 인바운드 IP 화이트리스트 전 고객 필수 적용(선택이 아닌 기본값으로 전환 검토)
- 액세스 토큰을 프로세스 메모리에 노출된 상태로 두지 않는 안전한 토큰 관리 체계 구축
- 서버측 비밀값(secrets)의 정기적 순환(rotation) 정책 수립
- 읽기전용 API 권한에 대해서도 이상 대량 조회·접근 실시간 탐지 체계 구축

2. 관리적 조치
- 인프라 제공업체 이용 기관투자자(특히 소규모 헤지펀드)의 자체 보안 통제 수준 강화
- 제3자 인프라 의존 시 거래상대방 리스크(counterparty risk) 관점의 보안 실사
- 기술적 사후 분석 보고서 공개를 통한 투명한 원인 규명
- "읽기전용=안전"이라는 인식 재검토 및 권한 체계 전반 재설계

□ 관련기사(출처)

감사합니다.

저작자표시 동일조건 (새창열림)