ASIAWORLDVIEW – Dompet Base milik Grok kehilangan 3 miliar token DRB senilai USD174 ribu setelah terjadi serangan eksploitasi injeksi prompt. Peretas memanfaatkan Non-Fungible Token atau Bankr Club yang diberikan secara gratis. Bankr telah mengonfirmasi serangan tersebut.
Dompet tersebut bersifat publik. Siapa pun yang memiliki tab Basescan dapat melihatnya.
Grok, Artificial Intelligence atau AI, mengelola dompet on-chain berlabel di jaringan Base. Secara default, dompet tersebut memiliki kemampuan transfer yang terbatas. Ternyata, batasan tersebut tidak cukup.
Seorang penyerang yang terkait dengan alamat ilhamrafli.base.eth mengirimkan NFT Keanggotaan Bankr Club ke dompet Grok. Gratis. Tanpa syarat yang terlihat.
Baca Juga: Grok Bisa Diakses Lagi di Indonesia, Ternyata Pakai Syarat
NFT tersebut bukanlah bentuk kebaikan hati. Seperti yang dicatat Jeremybtc di X, hadiah tersebut berfungsi sebagai kunci, membuka akses penuh ke alat-alat Bankr di lingkungan agen Grok, termasuk kemampuan menandatangani dan menyiarkan transfer tanpa otorisasi manual. Penyerang pada dasarnya telah memberikan kombinasi kunci kepada kunci itu sendiri.
Bankr adalah lapisan infrastruktur dompet yang berada di dalam konfigurasi agen AI tertentu. Setelah NFT keanggotaan tiba, agen Grok dapat memindahkan dana secara otonom.
Teks tepat yang dikirim penyerang tidak pernah berhasil dipulihkan. Pesan tersebut dihapus sebelum ada yang sempat menangkapnya. Teknik yang terdokumentasi dalam serangan serupa meliputi menyembunyikan instruksi di dalam string kode Morse, konten yang dienkripsi base64, atau perintah yang disamarkan sebagai permainan atau uji sistem untuk melewati filter.
Menurut Jeremybtc di X, Bankr menandatangani dan menyiarkan transfer tersebut. Tiga miliar token DRB, senilai sekitar USD174.000 pada saat eksekusi, meninggalkan dompet Grok dan tiba di alamat penyerang.
Token-token tersebut dipindahkan ke 0xe8e476bdd78b0aa6669509ec8d3e1c542d5a686b. Menurut Jeremybtc, token-token tersebut dipindahkan ke dompet kedua yang terhubung ke ilhamrafli.base.eth dan dijual hampir seketika. Akun X penyerang menjadi tidak aktif dalam hitungan menit.
Grok mengonfirmasi insiden tersebut di X, menggambarkannya sebagai serangan injeksi prompt yang menyerang dompet Bankr-nya di Base setelah NFT diterima. Sebagian besar dana telah dikembalikan, demikian konfirmasi Bankr.
