베이스(Base) 체인에서 AI 에이전트 간 신뢰 모델의 허점을 악용한 온체인 자산 탈취가 발생했다고 블록체인 보안업체 슬로우미스트(SlowMist)가 미디움 블로그를 통해 전했다. 탈취된 코인은 30억 DRB(17만 4570달러) 규모다. 해커는 X(구 트위터)에서 AI 모델 그록(Grok)에 프롬프트(명령어)를 모스 부호 형태로 입력했고 자동화 트레이딩 에이전트 뱅커(Bankr)가 이를 실행해 베이스(Base) 체인 상에서 해당 금액을 빼돌렸다. 이번 해킹에 사용된 '그록 월렛'은 xAI 소유가 아니라 뱅커가 자동 생성한 커스터디 지갑이었다. 슬로우미스트는 "뱅커가 그록의 자연어 출력을 실행가능한 이체 명령으로 직접 매핑(전환)하는 과정에서 충분한 실행자 및 실행 의도 검증이 없었고, 가입회원(멤버십) 활성화만으로 고위험 권한이 부여되었다"고 지적했다. 이어 "그록 자체는 프라이빗키를 보유하거나 온체인 작업의 실행 주체가 아니었고, 도구 차원에서 악용됐다"고 덧붙였다. 한편, 도난 자금은 해커와 피해 주체 간 협상을 통해 약 80~88%가 USDC 및 ETH로 피해자에게 반환됐고, 잔여분은 비공식 버그 바운티로 처리됐다.
