Le fournisseur londonien d’infrastructure technologique pour actifs numériques Haruko a été frappé par une cyberattaque ciblée ayant compromis les détails d’API d’échange en lecture seule et les données de trading de 15 clients institutionnels, selon trois sources proches du dossier. Au-delà de l’alerte individuelle, l’incident met en lumière un angle mort structurel du secteur : la concentration du risque sur les prestataires techniques tiers.
🔑 En bref
- 15 clients crypto institutionnels touchés par une attaque ciblée contre Haruko
- Un jeton d’accès extrait via une vulnérabilité dans un processus interne de la plateforme
- Une petite quantité de fonds subtilisée, principalement chez des hedge funds aux contrôles de sécurité limités
- L’utilisation de serveurs bare-metal (physiques), sans les protections supplémentaires du cloud, pointée du doigt
- Haruko promet un post-mortem technique complet et recommande la mise en place de listes blanches d’IP
Origine de la brèche : un jeton d’accès extrait en mémoire
Selon les messages internes consultés par CoinDesk, l’attaque n’a pas visé un client en particulier, mais bien Haruko elle-même, considérée comme une cible de choix par un groupe d’attaquants organisés. Adam Carlile, cofondateur et directeur technique de la société, l’a confirmé directement aux clients dans une communication écrite.
Le mécanisme de la brèche repose sur l’exploitation d’une vulnérabilité dans l’un des processus internes de Haruko. L’attaquant est parvenu à extraire un jeton d’accès utilisateur (credential technique servant à authentifier des requêtes), puis à l’utiliser pour capturer des données conservées dans la mémoire du processus au cours de son exécution. Cette mémoire pouvait contenir les identifiants d’API d’échange en lecture seule ainsi que d’autres informations sensibles.
« C’était une attaque ciblée par un groupe contre nous. Quinze clients ont été impactés. »
Adam Carlile, cofondateur et directeur technique de Haruko
Précision importante : les identifiants de connexion des clients n’ont pas été compromis sur leurs propres systèmes, selon les messages internes. La faille se situe intégralement dans l’infrastructure de Haruko, ce qui distingue cet incident d’un piratage classique de portefeuille ou de compte.
Portée de l’attaque : 15 clients, dont des hedge funds particulièrement exposés
L’ensemble des clients non inclus dans la liste blanche de Haruko a été affecté, comme l’a précisé le CTO. Une liste blanche (allowlist) est un mécanisme de filtrage qui n’autorise les communications qu’avec des adresses IP ou services préalablement approuvés. Cette configuration, qui aurait pu bloquer l’exfiltration, était manifestement absente chez plusieurs clients.
Les fonds de hedge funds plus modestes, disposant de contrôles de sécurité moins robustes, ont été particulièrement exposés. Une petite quantité de fonds clients a été volée, ont indiqué les sources. Parmi les clients officiellement recensés figurent notamment Bitcoin Suisse, GSR, Flowdesk, 3iQ Digital Assets, M2, Ampersan, MNNC Group (désormais Monarq Asset Management) et Trovio Asset Management.
| Client Haruko | Statut communiqué |
|---|---|
| GSR | Non impacté |
| 3iQ Digital Assets | Non affecté (liste blanche d’IP active) |
| Bitcoin Suisse | Pas de réponse avant publication |
| Flowdesk | Pas de réponse avant publication |
| M2 | Pas de réponse avant publication |
| Ampersan | Pas de réponse avant publication |
| MNNC / Monarq | Pas de réponse avant publication |
| Trovio | Pas de réponse avant publication |
Le cas de 3iQ est révélateur : le gestionnaire précise que ses fonds restent pleinement sécurisés précisément parce qu’il avait restreint l’accès API par liste blanche d’IP, mesure que Haruko recommande désormais à l’ensemble de sa base.
Choix d’infrastructure : le pari risqué du bare-metal
Selon l’une des sources, Haruko utilise des serveurs bare-metal, c’est-à-dire des machines physiques dédiées exploitées de manière exclusive, plutôt que des services cloud comme Amazon Web Services, qui offrent des contrôles de sécurité supplémentaires (chiffrement au repos, IAM granulaire, audit natif, segmentation réseau). Ce choix architectural, parfois motivé par des raisons de performance ou de coût, supprime plusieurs couches de protection standards.
Haruko a déclaré avoir corrigé la vulnérabilité et renouvelé ses secrets côté serveur (clés cryptographiques et tokens). La société a conseillé aux clients de configurer une liste blanche d’IP entrantes, restreignant l’accès à des adresses internet spécifiées, ce qui offrirait une « protection maximale ». Une publication d’un post-mortem technique complet est prévue.
Un contexte de piratages crypto en forte accélération
L’incident s’inscrit dans une tendance lourde du secteur. D’après les données de TRM Labs, les pirates ont mené 207 attaques au premier semestre 2026, soit plus du double des 83 enregistrées un an plus tôt. Ces incidents ont entraîné 972 millions de dollars de pertes. La part des compromissions d’infrastructures est particulièrement frappante : elles représentent environ 76 % des fonds volés tout en ne constituant que 15 % des incidents.
| Indicateur H1 2026 | Valeur | Source |
|---|---|---|
| Nombre d’attaques | 207 | TRM Labs |
| Perte totale (définition stricte) | 972 M$ | TRM Labs |
| Perte totale (définition large) | 1,32 Md$ | CertiK |
| Incidents H1 2025 | 83 | TRM Labs |
| Part des incidents d’infrastructure | 15 % | TRM Labs |
| Part des fonds volés via infrastructure | 76 % | TRM Labs |
| Nombre d’incidents (définition CertiK) | 344 | CertiK |
La société de sécurité CertiK, qui retient une définition plus large incluant notamment les rug pulls et les flash loan attacks, estime pour sa part les pertes du premier semestre à 1,32 milliard de dollars sur 344 incidents. Quel que soit le prisme retenu, le message est identique : les attaques deviennent moins nombreuses en proportion d’infrastructures mais plus dévastatrices en valeur absolue.
Les hacks demeurent un problème persistant pour l’industrie crypto car les transactions blockchain sont généralement irréversibles et les plateformes s’appuient sur des identifiants numériques et des systèmes de signature pouvant offrir aux attaquants un accès direct aux actifs, sans recours possible.
Conclusion : le risque de concentration sur les fournisseurs tiers
Fondée en mars 2021, Haruko fournit des infrastructures de portefeuille, de gestion des risques et de données de trading à plus de 80 clients à l’échelle mondiale. Sa plateforme se connecte à plus de 100 plateformes de trading centralisées, 30 blockchains et 250 protocoles on-chain. La société a levé environ 16 millions de dollars au total, dont un tour de série A de 6 millions en juillet 2024 codirigé par White Star Capital et MMC Ventures.
L’incident rappelle qu’un fournisseur d’infrastructure devient un point de défaillance unique (single point of failure) pour l’ensemble de ses clients. À mesure que les acteurs institutionnels délèguent la gestion de leurs API et de leurs données de marché à des tiers, la diligence de sécurité sur ces prestataires — audits indépendants, tests d’intrusion, segmentation réseau, listes blanches systématiques — devient aussi critique que la sécurité des portefeuilles eux-mêmes. Les régulateurs MiCA en Europe et les superviseurs américains observent désormais de près ces architectures, où la compromission d’un intermédiaire peut affecter en cascade des dizaines de fonds régulés.
Sources
- CoinDesk — Crypto Tech Provider Haruko Hit by Cyberattack Affecting 15 Clients
- Ground News — Haruko hack hits 15 crypto clients
- CryptoNews — Haruko cyberattack coverage
- Crypto Briefing — Haruko Cyberattack: Client Data and Funds Lost
- Startup Fortune — A Hacked Read-Only API at Haruko
- The420 — Haruko cyberattack and crypto theft
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
