2026年、AIエージェントがブロックチェーン上で自律的に資産を管理し、取引を行う「AI×Crypto」の融合は一般的な光景となりました。
しかし、その利便性の裏側に潜む脆弱性が、これまでにない形で顕在化しました。
2024年5月4日、X（旧Twitter）のAIアシスタント「Grok」に紐づけられた仮想通貨ウォレットから、秘密鍵を盗むことなく資産が不正送金されるという極めて特異な事案が発生しました。
この事件は、従来のハッキング手法とは異なり、AIの「翻訳・解読能力」と「エージェント間の連携仕様」を巧みに突いたものであり、今後のAI経済圏におけるセキュリティの在り方に一石を投じています。
事件の全容：モールス信号が「実行命令」に変換されたプロセス
今回の不正送金事案は、イーサリアムのレイヤー2ネットワークであるBase上で発生しました。
被害に遭ったのは、Grokの機能を拡張するために連携されていた仮想通貨ウォレットです。
攻撃者は、直接的なハッキングではなく、AIの自然言語処理能力を逆手に取った「ロジック・バイパス」の手法を用いました。
巧妙に仕組まれた「難読化」と「自動実行」
事案の引き金となったのは、攻撃者がX上に投稿した一見意味不明なモールス信号のツイートでした。
通常、AIのセーフガードは、明らかな送金命令や悪意のあるプロンプトを検知してブロックするように設計されています。
しかし、モールス信号という「解読が必要な形式」で入力を与えることにより、Grokの防御フィルターをすり抜けることに成功しました。
Grokはユーザーの投稿内容を理解・要約しようとする性質上、このモールス信号を自動的に解読し、その結果を平文として出力しました。
その出力内容には、あろうことか@bankrbot（Bankrbot）に対する「30億DRBトークンの送金指示」が含まれていたのです。
エージェント間連携の盲点
この事案において致命的だったのは、Grokの出力を別の自律型BotであるBankrbotが「正規の管理者命令」として受け取ってしまった点です。
- 攻撃者がモールス信号を投稿。
- Grokが信号を「0xe8e47…への送金」という指示として解読・ツイート。
- BankrbotがGrokの公式出力を監視しており、それを実行可能なコマンドと誤認。
- Baseネットワーク上で実際に30億DRB（約15〜20万ドル相当）が送金。
このように、AIが良かれと思って行った「解読作業」が、別のシステムにとっては「実行トリガー」として機能したことが、今回の被害の核心です。
技術的背景：権限昇格と設定の不備
なぜ、単なるAIの返信がウォレットの操作権限を持ち得たのでしょうか。
そこには、特定のNFTによる「権限昇格」と、開発環境における「設定漏れ」という2つの要因が重なっていました。
Bankr Club NFTによる権限の拡大
調査によると、攻撃者は事前にGrokのウォレット内に存在するBankr Club会員NFTを特定していました。
このNFTを保有しているウォレットは、Bankrbotに対して高度な操作命令を出す権限が付与される仕様となっていたようです。
攻撃者は自分自身が命令を下すのではなく、「権限を持つGrok」に命令を代弁させることで、認証の壁を突破しました。
これは、サイバーセキュリティにおける「権限の借用（Privilege Borrowing）」に近い手法と言えます。
削除されていたガードレール
Bankrbotの開発者は事後の報告において、以前のバージョンでは「Grokからの返信を無視する」というハードコードされたブロック設定が存在していたことを認めました。
しかし、最新のアップデートの際、AIエージェント同士の連携をスムーズにする目的、あるいは単純なミスにより、このブロック設定が削除されていたことが判明しました。
AIの出力が予測不可能であることを前提とした設計（ゼロトラスト・アーキテクチャ）が、利便性の追求によって疎かになっていたことが露呈した形です。
被害状況と資産の回収
今回の事案で流出したのは、DebtReliefBot（DRB）トークン30億枚です。
送金時の市場価格では約15万ドルから20万ドルに相当します。
| 項目 | 内容 |
|---|---|
| トランザクションID | 0x6fc7eb7da9379383efda4253e4f599bbc3a99afed0468eabfe18484ec525739a |
| 対象ネットワーク | Base (Ethereum L2) |
| 流出資産 | 3,000,000,000 DRB |
| 返還状況 | 約80%が回収済み |
幸いなことに、攻撃者との交渉、あるいはエコシステム側の迅速な対応により、流出した資金の約80%は既に返還されています。
残りの20%については、コミュニティ内での協議を通じて、補填やバーン（焼却）などの対応が決定される見込みです。
しかし、金額の多寡にかかわらず、「AIに翻訳させただけで金が動く」という事実が与えた衝撃は計り知れません。
AIエージェント時代に求められる新たなセキュリティ基準
今回の事件は、単一のプログラムのバグではなく、「AIが自律的に行動し、他システムと連携する」という設計そのものの脆弱性を浮き彫りにしました。
今後、AIウォレットやAIエージェントを安全に運用するためには、以下のような対策が業界標準になると予想されます。
1. 読み取り専用（ReadOnly）と書き込み（Write）の分離
AIモデルが情報を解読・出力するプロセスと、実際に資産を移動させる実行プロセスを物理的・論理的に切り離す必要があります。
AIの出力結果がそのまま実行コードとして解釈される設計は、極めてリスクが高いと言わざるを得ません。
2. 受取先ホワイトリストの厳格化
AIエージェントが送金を行う場合、あらかじめ登録されたホワイトリスト（許可リスト）以外の宛先への送金を自動的に遮断する仕組みが必要です。
たとえ正当に見える命令であっても、未知のアドレスへの大口送金には多要素認証（MFA）や人間による承認を介在させるべきです。
3. セッション単位の送金上限設定
AIによる自動取引には、時間単位やセッション単位での送金上限（レートリミット）を設けることが推奨されます。
これにより、今回のような一括での大規模流出を防ぎ、異常を検知した際に被害を最小限に抑えることが可能になります。
4. コンテキスト解析の強化
AIが「命令を実行しているのか」それとも「単に翻訳や要約をしているのか」という文脈（コンテキスト）を、実行側（今回の場合はBankrbot側）がより高度に判別する必要があります。
まとめ
2026年5月に発生したGrokウォレットの不正送金事件は、AIエージェントが直面する「権限管理の脆弱性」を突いた歴史的な事例となりました。
モールス信号を用いた難読化という古典的な手法が、最先端のAIを介することで「現代のハッキング」へと変貌を遂げた事実は、非常に皮肉な結果と言えます。
AIが私たちの財布（ウォレット）を管理する時代において、重要となるのは「AIがいかに賢いか」ではなく、「AIの出力をいかに疑うか」という設計思想です。
資金の大部分が回収されたことは不幸中の幸いですが、この教訓を活かし、AIエージェントの権限管理における「読み書きの分離」や「ゼロトラスト」の導入を急ぐことが、Web3とAIが共存する未来に向けた不可欠なステップとなるでしょう。