Input Output Group đã cảnh báo người dùng Cardano tránh kênh YouTube của mình vào ngày 18 tháng 9 sau khi một vụ chiếm quyền điều khiển rõ ràng đã dẫn đến một buổi phát trực tiếp của Charles Hoskinson bị nghi ngờ là do AI thao túng, quảng cáo một chương trình tặng thưởng tiền điện tử.
Input Output cho biết thông qua tài khoản X chính thức của mình rằng người dùng nên tránh tương tác với kênh “cho đến khi có thông báo mới”, đồng thời cảnh báo mọi người không nhấp vào liên kết, chuyển tiền hoặc cung cấp thông tin cá nhân thông qua các tài liệu xuất hiện trên đó.
Cảnh báo được đưa ra khi kênh đang phát trực tiếp một buổi hội thảo được trình bày dưới dạng Project Catalyst. Buổi phát sóng đã sử dụng đoạn phim giống Hoskinson và quảng cáo một ưu đãi tuyên bố người xem có thể “nhân đôi tài sản của mình” bằng cách làm theo hướng dẫn được liên kết qua mã QR. Không có bằng chứng nào được xem xét cho thấy Hoskinson hoặc Project Catalyst đã ủy quyền cho chương trình khuyến mãi này.
Vào thời điểm cảnh báo được đưa ra, buổi phát trực tiếp đáng ngờ đã tồn tại trực tuyến gần hai giờ, theo báo cáo về sự cố. IOG không công khai cách thức truy cập vào kênh của mình đã bị chiếm đoạt hoặc xác định danh tính của bên đứng đằng sau vụ chiếm quyền điều khiển rõ ràng này.
Thông điệp bảo mật của họ tập trung vào việc ngăn chặn tương tác thêm. Người dùng được yêu cầu không làm theo liên kết, gửi tiền điện tử hoặc gửi thông tin cá nhân cho đến khi tổ chức xác nhận rằng sự hiện diện trên YouTube của họ đã an toàn trở lại.
Không có bài đăng chính thức nào sau đó được tìm thấy trong quá trình xem xét này xác nhận rằng kênh đã được khôi phục hoàn toàn. Kết quả tìm kiếm hiện tại vẫn hiển thị các video lịch sử thông thường của IOG, nhưng sự sẵn có của chúng không tự nó chứng minh rằng quyền kiểm soát quản trị đã được khôi phục.
IOG đã không công bố địa chỉ ví liên quan đến buổi phát sóng lừa đảo. Họ cũng không tiết lộ liệu có ai đã gửi ADA hoặc tài sản khác sau khi xem buổi phát trực tiếp hay không, khiến bất kỳ khoản lỗ nào được tuyên bố đều chưa được xác minh.
Không có công ty pháp y blockchain hoặc nhà nghiên cứu bảo mật đáng tin cậy nào được xem xét cho báo cáo này đã công bố một sự phân bổ được xác minh, số dư ví lừa đảo hoặc dấu vết giao dịch liên quan cụ thể đến sự cố ngày 18 tháng 9.
Định dạng này giống với một loại lừa đảo mà Cardano đã cảnh báo người dùng trong nhiều năm.
Hướng dẫn nhận biết lừa đảo chính thức của Cardano mô tả cụ thể các chương trình tặng thưởng ADA, trong đó những kẻ lừa đảo hứa hẹn sẽ nhân đôi số tiền nắm giữ của người dùng sau khi nhận được khoản chuyển khoản ban đầu. Hướng dẫn nói rằng các buổi phát trực tiếp lừa đảo thường sử dụng các video giả mạo Charles Hoskinson hoặc các nhân vật nổi tiếng khác để làm cho ưu đãi có vẻ xác thực.
Cardano cảnh báo rằng các chương trình tặng thưởng hợp pháp không bao giờ yêu cầu người dùng gửi tiền điện tử trước. Khi ADA được chuyển đến một địa chỉ lừa đảo, các giao dịch blockchain không thể dễ dàng bị đảo ngược bởi các nhà phát triển hoặc tổ chức hệ sinh thái của Cardano.
Cardano Foundation đã ghi nhận kỹ thuật tương tự từ đầu năm 2020. Trong một thông báo cộng đồng, họ cho biết những kẻ lừa đảo đã chiếm quyền điều khiển các tài khoản YouTube có lượng khán giả đã được thiết lập, mạo danh các tổ chức Cardano và quảng bá các ưu đãi tuyên bố người dùng sẽ nhận được nhiều tiền điện tử hơn sau khi gửi tiền.
Quỹ đã tuyên bố rằng cả họ, EMURGO lẫn Input Output sẽ không quảng bá các chương trình tặng thưởng yêu cầu người dùng gửi ADA hoặc tài sản khác.
Các báo cáo cộng đồng kể từ đó đã ghi nhận nhiều buổi phát trực tiếp Hoskinson giả mạo. Một báo cáo năm 2024 đã mô tả một kênh mạo danh sử dụng những gì người dùng mô tả là đoạn phim Hoskinson do AI tạo ra để quảng bá một chương trình tặng thưởng. Báo cáo cộng đồng đó không xác định ai đã tạo ra video.
Buổi phát sóng ngày 18 tháng 9 được trình bày dưới dạng một sự kiện Project Catalyst, sử dụng thương hiệu liên quan đến chương trình gây quỹ cộng đồng của Cardano.
Project Catalyst là một sáng kiến thực sự của Cardano. Trang web chính thức của nó mô tả chương trình là một hệ thống tài trợ cộng đồng thông qua đó người dùng Cardano gửi, xem xét và bỏ phiếu cho các đề xuất. Nền tảng này cho biết 2.221 đề xuất đã nhận được tài trợ trong các vòng đã hoàn thành của nó.
Input Output đã đóng vai trò trực tiếp trong Catalyst trong lịch sử. Một bản cập nhật Catalyst tháng 2 năm 2026 đã xác định IOG là nhà điều hành chương trình vào thời điểm đó trong khi các trách nhiệm đang được tổ chức lại với Cardano Foundation và Intersect.
Đến tháng 6, Intersect cho biết việc quản lý đã được chuyển từ IOG sang Cardano Foundation, với các mốc quan trọng còn lại từ một dự án IOG Catalyst đã bị hủy và 2,06 triệu ADA được trả lại kho bạc.
Việc sử dụng thương hiệu Catalyst do đó đã tạo cho buổi phát trực tiếp lừa đảo một bối cảnh Cardano dễ nhận biết mặc dù không có nguồn Catalyst chính thức nào được xem xét cho báo cáo này đã thông báo một buổi hội thảo hợp pháp trùng khớp với buổi phát sóng tặng thưởng.
Việc sử dụng tên dự án quen thuộc kết hợp với đoạn phim Hoskinson rõ ràng tuân theo mô hình kỹ thuật xã hội được mô tả trong hướng dẫn lừa đảo của Cardano: tài liệu hệ sinh thái trông có vẻ chính hãng được kết hợp với một yêu cầu thanh toán độc hại.
Sự cố này không phải là lần đầu tiên một tài khoản xã hội nổi bật liên quan đến Cardano bị xâm phạm.
Như các báo cáo trước đây về việc vi phạm tài khoản Cardano đã đưa tin, tài khoản X của Cardano Foundation đã bị xâm phạm vào tháng 12 năm 2024 và được sử dụng để công bố một tuyên bố sai rằng Ủy ban Chứng khoán và Giao dịch Hoa Kỳ đã kiện tổ chức này. Những kẻ tấn công đã nói dối người dùng rằng việc hỗ trợ ADA sẽ ngừng.
Hoskinson đã phản hồi vào thời điểm đó bằng cách xác định các bài đăng là trái phép. Thông báo giả mạo không liên quan đến sự cố YouTube hiện tại, nhưng cả hai trường hợp đều liên quan đến các kênh truyền thông mang thương hiệu Cardano đáng tin cậy mang nội dung không bắt nguồn từ tổ chức kiểm soát tài khoản.
Các báo cáo lừa đảo liên quan đến YouTube còn kéo dài hơn nữa. Diễn đàn cộng đồng của Cardano chứa các báo cáo từ người dùng cho biết họ đã mất ADA sau khi gặp các buổi phát trực tiếp giả mạo đề nghị trả lại gấp đôi số tiền đã gửi. Một người dùng năm 2022 đã báo cáo chuyển 10.000 ADA sau khi xem một buổi phát sóng giả mạo theo chủ đề Hoskinson. Khoản lỗ đó được người dùng tự báo cáo và không được xác minh độc lập.
Một chủ đề diễn đàn khác mô tả phương pháp lặp lại của những kẻ tấn công: chiếm quyền kiểm soát các kênh YouTube đã được thiết lập, thay thế nội dung của chúng bằng các buổi phát trực tiếp tặng tiền điện tử và hướng người xem đến các địa chỉ thanh toán hoặc các trang web bên ngoài.
Video mới nhất đã được mô tả là bị AI thao túng, nhưng không có báo cáo pháp y kỹ thuật nào được xem xét cho bản cập nhật này đã xác nhận cách thức đoạn phim Hoskinson được tạo ra.
Sự phân biệt này vẫn còn liên quan vì những kẻ điều hành lừa đảo có thể sử dụng nhiều phương pháp, bao gồm đoạn phim lịch sử đã chỉnh sửa, âm thanh đã thay đổi, tạo giọng nói tổng hợp hoặc video được tạo hoàn toàn.
Hướng dẫn bảo mật hiện tại của Cardano cảnh báo rõ ràng rằng những cải tiến trong trí tuệ nhân tạo đang khiến các vụ lừa đảo mạo danh trở nên tinh vi hơn. Phần tặng thưởng của nó nêu tên các buổi phát trực tiếp giả mạo có Hoskinson là một rủi ro thường xuyên.
Bản thân IOG đã công khai thử nghiệm nội dung do AI tạo ra. Vào tháng 6, Hoskinson đã bảo vệ một bài đăng của người ảnh hưởng do AI tạo ra được xuất bản thông qua tài khoản Input Output, nói rằng nó là một phần của các thử nghiệm xung quanh các tác nhân AI và Midnight City. Các bài báo trước đó về các thử nghiệm nội dung AI của IOG đã báo cáo rằng một số thành viên cộng đồng đã phản đối nội dung tổng hợp.
Thử nghiệm hợp pháp đó không liên quan đến buổi phát trực tiếp đáng ngờ ngày 18 tháng 9. Cảnh báo của IOG đã yêu cầu rõ ràng người dùng không tương tác với kênh YouTube bị xâm phạm, trong khi bản thân chương trình tặng thưởng chưa được công ty xác nhận.
Vào thời điểm xem xét này, IOG đã không thông báo cách thức kênh bị xâm phạm, liệu xác thực đa yếu tố có bị bỏ qua hay không, liệu các tài khoản công ty khác có bị ảnh hưởng hay không hoặc liệu kẻ tấn công có giành được quyền truy cập vào các hệ thống nội bộ ngoài YouTube hay không.
Hướng dẫn chính thức của họ vẫn là tránh kênh cho đến khi tổ chức ban hành một thông báo khác xác nhận rằng quyền kiểm soát bình thường đã được khôi phục.
ADA