Empowa revela transferencias no autorizadas desde monederos del proyecto en Cardano

Empowa, un proyecto de financiación de vivienda que utiliza la infraestructura de Cardano para apoyar viviendas de alquiler con opción a compra en mercados emergentes, reveló dos incidentes vinculados que involucran tres monederos controlados por el proyecto.

Las transferencias afectaron a un monedero de tesorería y a dos monederos heredados de asignación de tokens. Empowa atribuyó la actividad a accesos mediante claves creadas cuando el proyecto se fundó en 2022, en lugar de a una falla de su plataforma de vivienda o de un protocolo de Cardano.

Empowa vincula dos incidentes a través de tres monederos

Según el informe de incidentes de Empowa, 143,710 en fondos de tesorería salieron de un monedero mediante 18 transferencias entre noviembre de 2025 y junio de 2026.

Las mismas credenciales del monedero también se usaron para registrarse en el Glacier Drop de Midnight sin conocimiento del equipo. El 20 de febrero se canjeó la asignación resultante de 48,219 tokens de Midnight. Alrededor de 36,164 se transfirieron posteriormente, mientras que aproximadamente 12,054 permanecieron bloqueados bajo las condiciones de adquisición del airdrop.

Un segundo incidente involucró las direcciones heredadas asociadas con $empowa.public y $empowa.ispo. Entre junio y agosto, se retiraron de esos monederos alrededor de 4.24 millones de tokens de Empowa no distribuidos.

Empowa dijo que las claves afectadas se originaron en su periodo de fundación. La frase semilla de la tesorería no había sido transferida al equipo actual y se creía que el monedero era inaccesible. El informe no identifica al operador ni acusa a ninguna persona.

Fondos movidos a través de DeFi de Cardano

La actividad on-chain citada por Empowa conecta los incidentes mediante un monedero central común y patrones de transacciones coordinados.

Aproximadamente 120,060 en fondos de tesorería llegaron a ese monedero central. Cerca de 100,000 se depositó como garantía en Liqwid, tras lo cual se tomó prestado USDCx. Transacciones posteriores convirtieron activos en stablecoins y utilizaron quemas coherentes con canjes a través de puentes.

La primera fase de las ventas de tokens involucró aproximadamente 850,000 tokens de Empowa negociados a través de Minswap y VyFi. Los ingresos se convirtieron en USDCx, con 4,810 USDCx enviados al mismo monedero central usado en el flujo de tesorería.

Empowa también identificó un monedero que pagaba comisiones que financió una nueva dirección vendedora con 95.33 en fondos de Cardano ocho minutos después de una transferencia inicial de 500,000 tokens de Empowa. Ese monedero de comisiones había respaldado previamente 2,635 reclamos de tokens de la comunidad, vinculando la infraestructura heredada de reclamación con las ventas posteriores.

Los saldos restantes se vaciaron de las direcciones afectadas el 28 de agosto. Ventas adicionales se canalizaron a través de DexHunter y Minswap V2, aunque aproximadamente tres millones de tokens de Empowa permanecían sin vender cuando se publicó el informe.

Las operaciones de vivienda permanecen intactas mientras continúa la investigación

Empowa dijo que no se vieron afectados otros monederos del proyecto. Las asignaciones de equipo, vivienda, innovación, operativas y de venta privada se habían trasladado a nuevas soluciones de custodia en 2024 y permanecen intactas.

Los proyectos de vivienda de la empresa y EmpowaPay, su sistema para registrar y gestionar pagos de vivienda, tampoco se vieron afectados. Los registros de reclamos de la comunidad siguen disponibles.

Empowa rechazó por separado una conexión con el incidente de SecondFi, citando diferencias de tiempo, estructura de monederos y comportamiento de transacciones.

Investigadores profesionales de blockchain están monitoreando ahora las direcciones vinculadas, los tokens restantes del proyecto y la asignación de Midnight que aún está bloqueada en su contrato de adquisición. Empowa dijo que buscaría información identificatoria por la vía legal si los fondos llegan a exchanges centralizados.

El próximo evento rastreable puede provenir de esa asignación bloqueada: moverla después de que la ventana de desbloqueo se abrió el 6 de septiembre requiere otra firma de las mismas credenciales comprometidas.