Coinbase, Microsoft en Europol ontmantelen Tycoon 2FA-phishingnetwerk
Europols EC3, met ondersteuning van Microsofts Digital Crimes Unit en Coinbase, heeft Tycoon 2FA opgerold — een abonnementsgebaseerde phishing-as-a-service (PhaaS) die multi-factor authenticatiesessies (MFA) onderschepte om accounts en geld te stelen. Microsoft heeft honderden domeinen in beslag genomen die aan Tycoons infrastructuur gekoppeld waren; Coinbase leverde blockchain-forensisch onderzoek, volgde betalingen om de vermeende operator en klanten te identificeren, en bracht wallets in kaart die werden gebruikt om opbrengsten te witwassen. Tycoon was actief sinds ten minste 2023, verspreidde maandelijks tientallen miljoenen phishingmails en maakte ongeautoriseerde toegang tot organisaties en crypto-accounts mogelijk. Medio 2025 was de dienst goed voor een groot deel van de door Microsoft geblokkeerde phishingpogingen; gezamenlijke publiek-private actie en domeininbeslagen leidden in 2025 tot een scherpe daling van phishingverliezen. Voor traders vermindert de takedown waarschijnlijk op korte termijn grootschalige geautomatiseerde phishingincidenten en MFA-omzeilingsaanvallen, waarmee het onmiddellijke risico op accountovernames afneemt. Toch kunnen operators rebranden of kunnen nieuwe PhaaS-diensten opduiken, en aanvallers blijven alternatieve geavanceerde technieken gebruiken (permit-signature en transfer-gebaseerde exploits). Traders dienen exchange- en walletaccounts te beveiligen (gebruik hardware wallets, intrek verdachte machtigingen, schakel sterke MFA-methoden in) en on-chain stromen te monitoren die gekoppeld zijn aan door onderzoekers onthulde wallets.
Neutral
De takedown verwijdert een belangrijke PhaaS-operator die accountovernames en grootschalige phishing faciliteerde, wat op korte termijn geautomatiseerde MFA-omzeilingsaanvallen en directe on-chain diefstallen zou moeten verminderen. Die vermindering kan de kortetermijn verkoopdruk verlagen die samenhangt met grote illegale liquidaties en de frequentie van gecompromitteerde uitbetalingen van exchanges verminderen, wat een bescheiden stabiliserend effect oplevert. De actie zal echter waarschijnlijk de fundamenten van belangrijke cryptocurrencies niet wijzigen (er werd geen specifieke munt op protocolniveau aangevallen), en dreigingsactoren passen zich historisch aan door diensten te rebranden of tactieken te verschuiven. Voortgezet gebruik van andere geavanceerde aanvalsvectoren (permit-handtekeningen, op overdrachten gebaseerde exploits) betekent aanhoudend achtergrondrisico. Daarom is de marktimpact beperkt en tijdelijk: lagere operationele risico’s voor exchanges en gebruikers maar geen duidelijke bull-catalysator voor native cryptoprijzen. Handelaren moeten voorzichtig blijven, sleutels en goedkeuringen beveiligen en letten op openbaarmakingen van in beslag genomen wallets en daaropvolgende on-chain bewegingen.