La inyección de prompt en código Morse drenó 3B $DRB de la billetera verificada de Grok — ~$155K perdidos en cuatro pasos.

Un actor malicioso utilizó la ofuscación en código Morse en una publicación pública de X para engañar a Grok y hacer que decodificara el texto y produjera un comando limpio de @bankrbot — que Bankrbot luego ejecutó como una transferencia de token en vivo. Tres mil millones de tokens DRB salieron de una billetera asociada a Grok en Base y aterrizaron en una dirección no autorizada, valorada en aproximadamente $155,000–$200,000 en ese momento.

El ataque no requirió acceso a la clave privada. Explotó la transferencia entre dos agentes: Grok actuó como un decodificador útil, y Bankrbot trató esa salida decodificada como autoridad de gasto. Un NFT de membresía del Bankr Club que ya estaba en la billetera de Grok supuestamente amplió sus privilegios de transferencia dentro del entorno de Bankr, completando la superficie de permisos que el atacante necesitaba.

El desarrollador 0xDeployer confirmó que el 80% de los fondos fueron devueltos, y el 20% restante está sujeto a discusión comunitaria — enmarcándolo como una recompensa informal por errores. La recuperación parcial…