Seorang Warga Negara Indonesia (WNI) diduga melakukan eksploitasi terhadap sistem chatbot Grok AI yang terintegrasi dengan dompet kripto Bankrbot pada Senin (4/5/2026). Aksi manipulasi ini mengakibatkan pengiriman 3 miliar token DebtReliefBot (DRB) ke alamat dompet pribadi pelaku.
Dilansir dari Detik Finance, pelaku menggunakan akun X @Ilhamrfliansyh untuk memberikan instruksi khusus kepada kecerdasan buatan tersebut. Pengiriman miliaran token tersebut dilakukan melalui perintah teknis yang disamarkan menggunakan sandi Morse agar terbaca oleh sistem otomatisasi.
Token DRB yang dipindahkan tersebut diperkirakan memiliki nilai pasar mencapai US$ 175.000 atau setara dengan Rp 3,03 miliar. Berdasarkan data teknis, aset digital ini merupakan memecoin yang dikelola melalui agen otomatisasi Grok AI dan infrastruktur Bankrbot di jaringan blockchain.
Pihak pengembang Bankrbot melalui akun resminya menyatakan bahwa pelaku memanfaatkan celah keamanan berupa injeksi prompt dan manipulasi array. Meskipun sempat terjadi transfer aset secara ilegal, seluruh token tersebut dilaporkan telah dikembalikan oleh pemilik akun @Ilhamrfliansyh.
"Triknya melibatkan semacam injeksi prompt/manipulasi array – satu balasan menyebut array bernama tco dengan 3 parameter, kalimat terpisah, lalu print/eksekus," tulis pengelola akun @bankrbot sebagaimana dikutip oleh Detik Finance pada Rabu (6/5/2026).
Chief Analyst Doo Financial Futures, Lukman Leong, menilai insiden ini menunjukkan adanya risiko baru dalam integrasi AI dengan sistem keuangan. Ia menyoroti lemahnya kontrol validasi ketika agen AI diberikan otoritas penuh untuk mengeksekusi transaksi finansial tanpa lapisan verifikasi tambahan.
Menurut Lukman, pengguna tersebut memanfaatkan sandi Morse untuk menyisipkan instruksi tersembunyi yang kemudian diproses oleh Grok AI. Instruksi tersebut diteruskan ke Bankrbot yang memiliki akses langsung ke dompet kripto sehingga memicu pemindahan aset secara otomatis.
Vice President Indodax, Antony Kusuma, menegaskan bahwa peristiwa ini bukanlah bentuk peretasan langsung terhadap teknologi blockchain. Ia menyebut kejadian ini sebagai eksploitasi terhadap mekanisme otomatisasi yang menghubungkan AI dengan akses transaksi aset digital secara tidak aman.
Antony mengimbau para investor untuk tetap waspada dan tidak membagikan informasi sensitif seperti kode OTP atau private key saat berinteraksi dengan bot. Saat ini, akun X yang digunakan pelaku dilaporkan sudah tidak dapat ditemukan atau telah dihapus dari platform tersebut.
