Coinbase, Microsoft et Europol démantèlent le réseau de phishing Tycoon 2FA
L’EC3 d’Europol, avec le soutien de la Digital Crimes Unit de Microsoft et de Coinbase, a démantelé Tycoon 2FA — un phishing-as-a-service (PhaaS) sur abonnement qui interceptait les sessions d’authentification multi‑facteurs (MFA) pour voler des comptes et des fonds. Microsoft a saisi des centaines de domaines liés à l’infrastructure de Tycoon ; Coinbase a fourni de la forensique blockchain, tracé les paiements pour identifier l’opérateur présumé et les clients, et cartographié les portefeuilles utilisés pour blanchir les recettes. Tycoon était actif depuis au moins 2023, envoyant des dizaines de millions d’e‑mails de phishing par mois et permettant des accès non autorisés dans des organisations et sur des comptes crypto. À la mi‑2025, le service représentait une large part des tentatives de phishing bloquées par Microsoft ; l’action conjointe privé‑public et les saisies de domaines ont entraîné une forte baisse des pertes liées au phishing en 2025. Pour les traders, la mise hors ligne réduit probablement à court terme les incidents de phishing automatisés à grande échelle et les attaques contournant la MFA, diminuant le risque immédiat de prise de contrôle de comptes. Cependant, les opérateurs peuvent se rebrander ou de nouvelles offres PhaaS peuvent apparaître, et les attaquants continuent d’utiliser d’autres techniques avancées (permit‑signature et exploits basés sur les transferts). Les traders devraient sécuriser leurs comptes d’échange et leurs portefeuilles (utiliser des hardware wallets, révoquer les approbations suspectes, activer des méthodes MFA robustes) et surveiller les flux on‑chain liés aux portefeuilles divulgués par les enquêteurs.
Neutral
La mise hors ligne a supprimé un important opérateur PhaaS qui facilitait les prises de contrôle de comptes et le phishing à grande échelle, ce qui devrait réduire à court terme les attaques automatisées contournant la MFA et les vols immédiats on-chain. Cette réduction peut diminuer la pression vendeuse à court terme liée aux importantes liquidations illicites et réduire la fréquence des retraits compromis sur les exchanges, produisant un effet stabilisant modeste. Cependant, l’action est peu susceptible de changer les fondamentaux des principales cryptomonnaies (aucune pièce spécifique n’a été ciblée pour des exploits au niveau protocole), et les acteurs malveillants s’adaptent historiquement en rebrandant des services ou en changeant de tactiques. L’utilisation continue d’autres vecteurs d’attaque avancés (signatures permit, exploits basés sur les transferts) signifie un risque de fond soutenu. Par conséquent l’impact sur le marché est limité et temporaire : risque opérationnel réduit pour les exchanges et les utilisateurs mais pas de catalyseur haussier clair pour les prix des cryptos natives. Les traders doivent rester prudents, sécuriser clés et autorisations, et surveiller les divulgations de wallets saisis et les mouvements on-chain qui s’ensuivent.