Coinbase, Microsoft y Europol desmantelan la red de phishing Tycoon 2FA
La EC3 de Europol, con el apoyo de la Unidad de Delitos Digitales de Microsoft y Coinbase, desmanteló Tycoon 2FA, un servicio de phishing por suscripción (PhaaS) que interceptaba sesiones de autenticación multifactor (MFA) para robar cuentas y fondos. Microsoft incautó cientos de dominios vinculados a la infraestructura de Tycoon; Coinbase proporcionó análisis forense en la cadena de bloques, rastreó pagos para identificar al presunto operador y a clientes, y mapeó billeteras usadas para blanquear los ingresos. Tycoon había estado activo al menos desde 2023, distribuyendo decenas de millones de correos de phishing mensuales y permitiendo accesos no autorizados en organizaciones y cuentas de criptomonedas. A mediados de 2025, el servicio representaba una gran parte de los intentos de phishing bloqueados por Microsoft; la acción conjunta público-privada y las incautaciones de dominios provocaron una fuerte caída de las pérdidas por phishing en 2025. Para los traders, la desarticulación probablemente reduce a corto plazo los incidentes de phishing automatizados a gran escala y los ataques que eluden la MFA, disminuyendo el riesgo inmediato de toma de cuentas. Sin embargo, los operadores pueden cambiar de marca o pueden surgir nuevas ofertas de PhaaS, y los atacantes siguen usando técnicas avanzadas alternativas (exploits basados en permit-signature y transferencias). Los traders deben asegurar cuentas en exchanges y billeteras (usar billeteras hardware, revocar aprobaciones sospechosas, activar métodos de MFA fuertes) y monitorizar los flujos on-chain vinculados a las billeteras divulgadas por los investigadores.
Neutral
La incautación elimina a un importante operador de PhaaS que facilitaba la toma de cuentas y el phishing a gran escala, lo que debería reducir los ataques automatizados de elusión de MFA y los robos inmediatos on-chain a corto plazo. Esa reducción puede disminuir la presión de venta a corto plazo vinculada a grandes liquidaciones ilícitas y reducir la frecuencia de retiradas comprometidas en los exchanges, produciendo un efecto estabilizador modesto. Sin embargo, la medida probablemente no cambie los fundamentos de las principales criptomonedas (no se apuntó a ninguna moneda concreta mediante exploits a nivel de protocolo), y los actores maliciosos históricamente se adaptan reetiquetando servicios o cambiando de tácticas. El uso continuado de otros vectores avanzados de ataque (firmas permit, exploits basados en transferencias) implica un riesgo de fondo sostenido. Por lo tanto, el impacto en el mercado es limitado y temporal: menor riesgo operativo para exchanges y usuarios, pero sin un catalizador alcista claro para los precios nativos de las criptomonedas. Los traders deben permanecer cautelosos, asegurar claves y aprobaciones, y vigilar las divulgaciones de billeteras incautadas y los movimientos on-chain posteriores.