Empowa divulga transferências não autorizadas de carteiras do projeto na Cardano

Empowa, um projeto de financiamento habitacional que usa a infraestrutura da Cardano para apoiar casas com opção de compra em mercados emergentes, divulgou dois incidentes ligados envolvendo três carteiras controladas pelo projeto.

As transferências afetaram uma carteira de tesouraria e duas carteiras legadas de alocação de tokens. Empowa atribuiu a atividade ao acesso por meio de chaves criadas quando o projeto foi fundado em 2022, em vez de uma falha de sua plataforma habitacional ou de um protocolo da Cardano.

Empowa liga dois incidentes em três carteiras

De acordo com o relatório de incidente da Empowa, 143,710 em fundos da tesouraria saíram de uma carteira por meio de 18 transferências entre novembro de 2025 e junho de 2026.

As mesmas credenciais da carteira também foram usadas para se inscrever no Glacier Drop da Midnight sem o conhecimento da equipe. Em 20 de fevereiro, a alocação resultante de 48,219 tokens Midnight foi resgatada. Cerca de 36,164 foram transferidos adiante, enquanto aproximadamente 12,054 permaneceram bloqueados sob as condições de vesting do airdrop.

Um segundo incidente envolveu os endereços legados associados a $empowa.public e $empowa.ispo. Entre junho e agosto, cerca de 4.24 milhões de tokens Empowa não distribuídos foram removidos dessas carteiras.

Empowa disse que as chaves afetadas se originaram do período de fundação. A frase semente da tesouraria não havia sido transferida para a equipe atual, e acreditava se que a carteira era inacessível. O relatório não identifica o operador nem acusa qualquer indivíduo.

Fundos movimentados por meio do DeFi da Cardano

A atividade na blockchain citada pela Empowa conecta os incidentes por meio de uma carteira central comum e padrões de transação coordenados.

Aproximadamente 120,060 em fundos da tesouraria chegaram a esse hub. Cerca de 100,000 foi depositado como garantia na Liqwid, após o que USDCx foi tomado emprestado. Transações posteriores converteram ativos em stablecoins e usaram queimas consistentes com resgates de ponte.

A primeira fase das vendas de tokens envolveu aproximadamente 850,000 tokens Empowa negociados por meio da Minswap e da VyFi. A receita foi convertida em USDCx, com 4,810 USDCx enviados para o mesmo hub usado no fluxo da tesouraria.

Empowa também identificou uma carteira que paga taxas que financiou um novo endereço de vendedor com 95.33 em fundos da Cardano oito minutos após uma transferência inicial de 500,000 tokens Empowa. Essa carteira de taxas havia anteriormente sustentado 2,635 solicitações de tokens da comunidade, ligando a infraestrutura legada de reivindicação às vendas posteriores.

Os saldos restantes foram varridos dos endereços afetados em 28 de agosto. Vendas adicionais foram roteadas por meio da DexHunter e da Minswap V2, embora cerca de três milhões de tokens Empowa tenham permanecido não vendidos quando o relatório foi publicado.

Operações habitacionais permanecem intactas enquanto a investigação continua

Empowa disse que nenhuma outra carteira do projeto foi afetada. As alocações de equipe, habitação, inovação, operacionais e de venda privada haviam sido movidas para novas soluções de custódia em 2024 e permanecem intactas.

Os projetos habitacionais da empresa e o EmpowaPay, seu sistema para registrar e gerenciar pagamentos de habitação, também não foram afetados. Os registros de reivindicações da comunidade continuam disponíveis.

Empowa rejeitou uma ligação com o incidente da SecondFi, citando diferenças de cronologia, estrutura de carteiras e comportamento de transações.

Investigadores profissionais de blockchain estão agora monitorando os endereços vinculados, os tokens restantes do projeto e a alocação de Midnight ainda bloqueada em seu contrato de vesting. Empowa disse que buscaria informações de identificação por meio de canais legais se os fundos chegarem a exchanges centralizadas.

O próximo evento rastreável pode vir dessa alocação bloqueada: mover essa alocação após a abertura da janela de desbloqueio em 6 de setembro requer outra assinatura das mesmas credenciais comprometidas.