Морзе, NFT и доверчивый бот: как из кошелька Grok увели $175 тысяч

Как сообщает «Хабр», злоумышленник обратился к чат-боту с просьбой перевести сообщение, зашифрованное азбукой Морзе, на английский. Искусственный интеллект расшифровал текст, упомянул финансового бота — и тем самым, сам того не желая, инициировал перевод 3 000 000 000 токенов. Система безопасности восприняла публичный ответ умной машины как команду на транзакцию.

Инфраструктура ограбления держалась на доверии платформ к соцсетям. Сервис Bankr автоматически создаёт кошельки для всех аккаунтов X без дополнительной аутентификации. Чтобы активировать право на финансовые операции, злоумышленник подарил боту специальный NFT. После этого кошелёк с искусственным интеллектом получил функционал для перевода денег на любые адреса.

Ирония — в истории разработки. Предыдущая версия системы блокировала любые команды от аккаунта Grok, защищаясь от инъекций. При глобальном переписывании кода программисты попросту забыли перенести эту строку в новую архитектуру. Теперь разработчики спешно добавляют фильтры по IP и пытаются отключить управление деньгами через посты.

Спустя несколько часов взломщик добровольно вернул 80% украденных активов. Судьба оставшихся 20% зависла в бесконечных обсуждениях разработчиков и криптосообщества. Сверхсовременные языковые модели по-прежнему беззащитны перед банальной социальной инженерией.