Haruko Hack kompromittiert API Daten bei fünfzehn Krypto Firmen

Beim Haruko-Hack sind nach aktuellem Stand 15 institutionelle Kunden betroffen, darunter vor allem Krypto-Fonds und Handelsfirmen. Der auf digitale Vermögenswerte spezialisierte Dienstleister Haruko bestätigte einen Sicherheitsvorfall, bei dem Angreifer offenbar Zugang zu sensiblen Handels- und Kontodaten erhielten. Nach bisherigem Kenntnisstand geht es um API-Zugänge, Konfigurationsdaten und interne Informationen zu Wallets und Börsenanbindungen; ob und in welchem Ausmass Gelder direkt abgezogen wurden, wird noch untersucht. Der Fall sorgt in der Krypto-Branche für Unruhe, weil er zeigt, wie verwundbar die Verbindung zwischen Fonds, Börsen und Infrastruktur-Anbietern ist.

Was beim Haruko-Sicherheitsvorfall bekannt ist

Haruko, ein Anbieter für Treasury-, Handels- und Risikomanagement im Krypto-Umfeld, wurde nach eigenen Angaben Ziel eines Angriffs auf seine Infrastruktur. Das Unternehmen sprach von einer begrenzten Zahl betroffener Kunden und informierte diese nach dem Vorfall unmittelbar. Im Zentrum stehen offenbar Zugriffe auf Konten, die über Schnittstellen zu Börsen und Verwahrstellen mit Haruko verbunden waren. Damit ist der Fall kein klassischer Retail-Exchange-Hack, sondern ein Angriff auf die operative Schicht, über die Fonds und professionelle Trader ihre Bestände steuern.

Die zentralen Fragen lauten derzeit: Welche Daten wurden abgegriffen, ob API-Schlüssel kompromittiert wurden und ob die Angreifer Transaktionen auslösen konnten. In der Krypto-Sicherheitswelt ist genau diese Kombination heikel. Wer API-Zugangsdaten erbeutet, kann unter Umständen Handelsaufträge platzieren, Orders manipulieren, Kontoinformationen auslesen oder interne Bewegungsdaten für weitere Angriffe nutzen. Selbst wenn keine unmittelbaren Abflüsse stattfinden, können solche Daten für spätere Social-Engineering-Angriffe, gezielte Phishing-Kampagnen oder Missbrauch bei angeschlossenen Börsen weiterverwendet werden.

Haruko nannte zunächst keine vollständige Liste aller betroffenen Datenkategorien. Bestätigt ist jedoch, dass sensible Betriebsinformationen und Kundenbeziehungen im Fokus stehen. Besonders wichtig ist dabei die Unterscheidung zwischen Zugriff auf reine Metadaten und Zugriff auf aktive Berechtigungen. Falls Schlüssel nur ausgelesen, aber nicht mit Handelsrechten verknüpft waren, ist der Schaden anders zu bewerten als bei kompromittierten API-Keys mit Ausführungsrechten. Genau diese forensische Abgrenzung bestimmt auch, ob betroffene Kunden ihre Börsenverbindungen sofort trennen oder nur rotieren müssen.

Wer betroffen ist und was über mögliche Verluste bekannt ist

Nach den bisher kommunizierten Informationen sind 15 Kunden betroffen. Es handelt sich dabei nicht um Privatnutzer, sondern um professionelle Marktteilnehmer, also Fonds, Handelsfirmen und andere institutionelle Akteure mit Krypto-Exposure. Berichte aus dem Umfeld deuten auf kleinere Hedgefonds und vermögensverwaltende Einheiten hin, die Haruko für Handels- und Bestandsübersicht einsetzen. Genau diese Zielgruppe macht den Vorfall besonders brisant: Ein Angriff auf einen einzelnen Dienstleister kann zugleich mehrere Marktteilnehmer treffen, deren Vermögen über Börsen, Custody-Partner und interne Systeme verteilt ist.

Ob Kundengelder entwendet wurden, ist weiterhin nicht abschliessend geklärt. Der Stand der Untersuchung legt nahe, dass die Angreifer zumindest Zugang zu Informationen über Wallet-Strukturen, Börsenkonten und Handelsaktivitäten hatten. In der Praxis reicht schon dieser Einblick, um Risiken auszulösen. Wer beispielsweise weiss, welche Wallets grosse Bestände halten oder welche Börsenanbindungen aktiv sind, kann gezielt auf Schwachstellen bei Auszahlungen, Berechtigungen oder Freigabeprozessen setzen. Sollte es zu einem Abfluss gekommen sein, wäre die Schadenshöhe vermutlich stark vom Umfang der jeweiligen API-Rechte und von den Sicherheitsstufen der angeschlossenen Plattformen abhängig.

Für betroffene Kunden entstehen neben einem möglichen Vermögensverlust noch andere Kosten: Handelsunterbrüche, Notfallprüfungen, zusätzliche Compliance-Arbeit und das Einfrieren von Positionen, bis die Integrität der Verbindungen geklärt ist. Gerade bei Fonds kann schon ein kurzfristiger Ausfall der Infrastruktur operative Folgen haben, etwa verpasste Rebalancings, unvollständige Risikoübersichten oder verspätete Ausführungen. Auch für das Gegenparteienmanagement ist der Vorfall relevant, weil Gegenstellen nun genauer prüfen, wie sicher die jeweiligen API-Setups und Berechtigungsmodelle tatsächlich sind.

Wie der Angriff technisch abgelaufen sein dürfte

Die bisherigen Hinweise sprechen für einen Angriff auf Zugangs- oder Authentifizierungsdaten, nicht für einen simplen Frontend-Deface oder eine öffentliche Website-Lücke. Im Krypto-Umfeld sind API-Schlüssel oft der sensibelste Teil der Infrastruktur, weil sie Brücken zwischen internen Systemen und Börsen schlagen. Sobald ein Angreifer solche Schlüssel oder Session-Tokens erlangt, kann er unter Umständen Kontostände auslesen, Orders auslösen oder Berechtigungen missbrauchen. Besonders riskant sind Konfigurationen, bei denen API-Schlüssel nicht strikt auf Leserechte begrenzt sind oder keine IP-Whitelists und Transaktionslimits greifen.

Technisch kommen mehrere Szenarien infrage. Möglich ist eine Kompromittierung von Zugangsdaten über Phishing oder einen gestohlenen Administrator-Login. Ebenso denkbar ist ein Fehler in der Infrastruktur, etwa ein falsch abgesicherter Geheimnis-Speicher, ein exponiertes Konfigurations-Repository oder ein unzureichend geschütztes Support- oder Monitoring-System. Bei professionellen Anbietern ist auch die Lieferkette ein Thema: Wer Drittsysteme für Reporting, Order-Management oder Portfolio-Accounting einbindet, erweitert die Angriffsfläche deutlich. Ein erfolgreicher Zugriff auf nur eine schwache Stelle kann reichen, um später tiefer in die operative Umgebung vorzudringen.

Forensisch entscheidend ist nun, welche Artefakte Haruko und externe Ermittler sichern konnten: Logdaten zu API-Aufrufen, Zeitstempel von Token-Erstellung und -Nutzung, Änderungen an Berechtigungen, IP-Herkunft der Zugriffe sowie mögliche Abweichungen bei Ordermustern. Wenn etwa ungewöhnliche Abfragen kurz vor Börsentransaktionen auftauchten, würde das auf aktiven Missbrauch hindeuten. Wenn dagegen nur Leserechte ausgenutzt wurden, steht eher der Datenabfluss im Vordergrund. In beiden Fällen ist die Kombination aus technischer Analyse und Börsen-Feedback ausschlaggebend, um den Umfang des Haruko-Hacks seriös zu bewerten.

Warum API-Risiken im Krypto-Sektor besonders hoch sind

Im traditionellen Finanzbereich sind Schnittstellen meist stark segmentiert und mit mehrstufigen Freigaben versehen. Im Krypto-Markt sind viele Prozesse dagegen bewusst automatisiert, weil Handel, Reporting und Verwahrung in Echtzeit laufen müssen. Genau dort liegt die Schwachstelle: Ein kompromittierter API-Key ist oft sofort operativ nutzbar. Hinzu kommt, dass Krypto-Transaktionen grundsätzlich schwer zurückzuholen sind. Wenn Gelder einmal auf eine externe Wallet oder Börse übertragen wurden, hängt die Wiederherstellung von Geschwindigkeit, Identifizierbarkeit und Zusammenarbeit der Plattformen ab.

Reaktionen von Haruko und Sofortmassnahmen für Kunden

Haruko hat die betroffenen Kunden informiert und nach eigenen Angaben interne Sicherheits- und Wiederherstellungsprozesse eingeleitet. Dazu gehören typischerweise das Zurücksetzen von Zugängen, das Sperren potenziell betroffener Verbindungen und die Prüfung aller Integrationen mit Börsen und Verwahrstellen. Für Kunden ist entscheidend, nicht auf die vollständige Abschlussanalyse zu warten, sondern die eigenen Systeme sofort zu härten. Wer weiterhin dieselben Schlüssel oder Sessions verwendet, läuft Gefahr, dass ein schon erkannter Vorfall nachwirkt oder sich auf verbundene Konten ausdehnt.

Die wichtigsten Schritte sind klar: API-Schlüssel rotieren, alle Rechte auf das Minimum reduzieren, aktive Sessions und Tokens invalidieren und Auszahlungsrechte getrennt von Leserechten behandeln. Falls ein Kunde mehrere Börsen oder Dienstleister über Haruko angebunden hatte, sollten die Verbindungen einzeln überprüft werden, weil unterschiedliche Plattformen verschiedene Berechtigungsmodelle verwenden. Zusätzlich braucht es eine Sichtung der Transaktionshistorie auf unautorisierte Orders, ungewöhnliche Login-Muster und neue Whitelist-Einträge. Auch interne Passwort- und Geheimnis-Speicher gehören überprüft, falls dieselben Zugangsdaten in mehreren Systemen wiederverwendet wurden.

Für die betroffenen Fonds und Handelsfirmen ist zudem die Kommunikation mit den Gegenparteien wichtig. Börsen und Custody-Anbieter müssen informiert werden, wenn API-Keys verdächtig erscheinen oder eine Kontosperrung notwendig ist. In einem solchen Fall zählt Geschwindigkeit mehr als Formalismus. Wer zu lange wartet, riskiert, dass verdächtige Aktivitäten nicht mehr eindeutig zugeordnet werden können oder dass weitere Automatisierungen auf kompromittierten Verbindungen weiterlaufen. Je enger ein Unternehmen mit externen Systemen verflochten ist, desto stärker muss es im Notfall zwischen Handel, Reporting und Auszahlung unterscheiden.

Was Anleger und Dienstleister jetzt prüfen sollten

Prüfpunkt	Warum er wichtig ist
API-Schlüssel rotieren	Verhindert die Weiternutzung kompromittierter Zugänge
Berechtigungen reduzieren	Begrenzt den Schaden bei erneutem Missbrauch
Auszahlungsrechte trennen	Schützt vor unautorisierten Transfers
IP-Whitelists setzen	Erschwert den Zugriff aus fremden Netzen
Logs forensisch sichern	Ermöglicht die spätere Analyse des Angriffswegs
Börsen informieren	Beschleunigt Sperren und Gegenmassnahmen

Auch unabhängig vom konkreten Haruko-Fall bleibt die Lehre für den Markt dieselbe: Krypto-Infrastruktur muss so behandelt werden wie kritische Finanzinfrastruktur. Das heisst Segmentierung, Mehrfachfreigaben, strikte Geheimnisverwaltung und laufende Überprüfung von Drittzugriffen. Firmen, die API-Verbindungen wie einfache Integrationsdetails behandeln, unterschätzen die operative Hebelwirkung solcher Schnittstellen. Für Anleger wiederum gilt, dass die Sicherheit eines Dienstleisters nicht nur an dessen Oberfläche, sondern an seinen Berechtigungen, Prozessen und Reaktionszeiten gemessen werden muss.

Was der Haruko-Hack für die Branche bedeutet

Der Vorfall trifft die Branche an einem empfindlichen Punkt. Professionelle Krypto-Teilnehmer bauen ihre Geschäftsmodelle auf Geschwindigkeit, Automatisierung und Interoperabilität auf. Genau diese Vorteile werden zur Schwachstelle, wenn ein zentraler Anbieter mit Börsenanbindung ins Visier gerät. Der Haruko Sicherheitsvorfall zeigt, dass nicht nur Börsen selbst, sondern auch die dazwischenliegenden Dienstleister hohe systemische Bedeutung haben. Wer dort erfolgreich eindringt, kann sich Zugang zu einer ganzen Kette von Marktteilnehmern verschaffen.

Für die kommenden Tage und Wochen wird entscheidend sein, ob Haruko den genauen Angriffsweg offenlegt, ob einzelne Börsen ungewöhnliche Bewegungen bestätigen und ob tatsächlich Gelder abgezogen wurden. Sollte sich der Diebstahl auf API-Daten und Handelsinformationen beschränken, bleibt der Vorfall dennoch schwerwiegend. Denn im Krypto-Sektor ist Information selbst ein Vermögenswert, und kompromittierte Zugangsdaten können oft später mehr Schaden anrichten als ein einzelner sofortiger Transfer. Die Branche wird deshalb nicht nur auf die endgültige Schadenssumme schauen, sondern auf die Frage, wie tief solche Integrationsrisiken künftig kontrolliert werden können.

Konsequenzen für Haruko, Kunden und den Markt

Der Haruko Hack dürfte weit über die direkt Betroffenen hinaus Wirkung entfalten. Für Haruko steht Vertrauen auf dem Spiel, für die Kunden operative Stabilität und für den Markt die Einsicht, dass API-Ökosysteme ebenso angreifbar sind wie Wallets oder Börsenfrontends. Sollte sich bestätigen, dass API-Schlüssel gestohlen oder Handelsverbindungen missbraucht wurden, wird der Druck auf Anbieter steigen, Berechtigungen enger zu fassen und Recovery-Prozesse zu professionalisieren. Für Kunden bedeutet das, dass sie ihre Infrastruktur nicht nur auf Performance, sondern auf Angriffsresistenz prüfen müssen. Der Fall ist ein weiteres Signal dafür, dass im Krypto-Sektor nicht die Grösse eines Unternehmens schützt, sondern die Qualität seiner Zugriffskontrollen, seiner Forensik und seiner Reaktionsfähigkeit.