Coinbase, Microsoft ed Europol smantellano la rete di phishing Tycoon 2FA
L'EC3 di Europol, con il supporto della Digital Crimes Unit di Microsoft e di Coinbase, ha smantellato Tycoon 2FA, un servizio di phishing in abbonamento (PhaaS) che intercettava sessioni di autenticazione multifattore (MFA) per rubare account e fondi. Microsoft ha sequestrato centinaia di domini collegati all'infrastruttura di Tycoon; Coinbase ha fornito analisi forense della blockchain, tracciato pagamenti per identificare il presunto operatore e i clienti e mappato wallet usati per riciclare i proventi. Tycoon era attivo almeno dal 2023, distribuendo decine di milioni di email di phishing al mese e consentendo accessi non autorizzati in organizzazioni e account crypto. A metà 2025 il servizio rappresentava una grande quota dei tentativi di phishing bloccati da Microsoft; l'azione combinata pubblico-privata e i sequestri di domini hanno portato a un forte calo delle perdite da phishing nel 2025. Per i trader, il sequestro probabilmente riduce a breve termine gli incidenti di phishing automatizzati su larga scala e gli attacchi che bypassano la MFA, abbassando il rischio immediato di takeover degli account. Tuttavia, gli operatori potrebbero cambiare nome o potrebbero emergere nuove offerte PhaaS, e gli attaccanti continuano a usare tecniche avanzate alternative (exploit basati su permit-signature e trasferimenti). I trader dovrebbero mettere in sicurezza account su exchange e wallet (usare hardware wallet, revocare approvazioni sospette, attivare metodi MFA forti) e monitorare i flussi on-chain collegati ai wallet divulgati dagli investigatori.
Neutral
Il provvedimento elimina un importante operatore PhaaS che facilitava il takeover di account e il phishing su larga scala, il che dovrebbe ridurre gli attacchi automatizzati di bypass MFA e i furti immediati on-chain nel breve termine. Tale riduzione può abbassare la pressione di vendita a breve termine legata a grandi liquidazioni illecite e diminuire la frequenza di prelievi compromessi dagli exchange, producendo un modesto effetto stabilizzante. Tuttavia, l'azione difficilmente cambierà i fondamentali delle principali criptovalute (non è stata presa di mira alcuna moneta specifica per exploit a livello di protocollo), e gli attori malintenzionati storicamente si adattano rinominando i servizi o cambiando tattiche. L'uso continuato di altri vettori di attacco avanzati (permit signature, exploit basati su trasferimenti) significa un rischio di fondo persistente. Pertanto l'impatto sul mercato è limitato e temporaneo: minore rischio operativo per exchange e utenti ma nessun chiaro catalizzatore rialzista per i prezzi nativi delle crypto. I trader dovrebbero restare cauti, mettere in sicurezza chiavi e approvazioni e monitorare le divulgazioni dei wallet sequestrati e i successivi movimenti on-chain.