Coinbase ve Europol, MFA’yı Aşan Tycoon 2FA Oltalama Ağına Darbe Vurdu: Kripto Dolandırıcılığında Kritik Eşik

Coinbase gibi büyük teknoloji şirketleri ve kolluk kuvvetleri, ‘Tycoon 2FA’ olarak bilinen platformun temel altyapısını çökertmek için birlikte hareket etti. Çok faktörlü kimlik doğrulamayı(MFA) atlatan bu ‘hizmet olarak oltalama(Phishing-as-a-Service)’ aracı, şimdiye kadar hesap ele geçirme ve buna bağlı finansal dolandırıcılık vakalarının yayılmasında önemli bir rol oynuyordu. Bu hamlenin, kripto odaklı siber suçların önlenmesinde anlamlı bir dönüm noktası olup olmayacağı merak ediliyor.

Europol, 5’inde (yerel saatle), Microsoft(MSFT) ile işbirliği yaparak Tycoon 2FA ile bağlantılı 330 alan adını engellediklerini açıkladı. Soruşturma ekipleri bununla da kalmayıp platformun çalışması için gerekli olan ana altyapıya el koydu. Operasyonda kripto para borsası Coinbase de yer aldı.

Coinbase, operasyonun önemli bir ayağının ‘finansal izleme’ olduğunu belirtti. Şirket, blokzincir üzerindeki işlemleri analiz ederek Tycoon 2FA’yı finanse eden para hareketlerini takip etti. Bu sayede oltalama platformunun ‘yöneticisi’ olarak görülen kişiyle, hizmeti satın alan bazı kullanıcıların tespitine katkı sağlandığı ifade edildi. Coinbase, “Tycoon’un temel altyapısını çevrimdışı hale getirmek, kimlik bilgileri(kullanıcı adı ve şifre) hırsızlığına uzanan ana boru hattını kesmek anlamına geliyor ve suçlular bu sistemi yeniden kurmaya çalışırken çok daha büyük riskler almak zorunda kalacak” değerlendirmesinde bulundu.

Coinbase’in açıklamasına göre Tycoon 2FA’nın araç setinin merkezinde, meşru web sitelerinin neredeyse birebir kopyası olan ‘sahte açılış sayfaları’ yer alıyor. Kullanıcının kimlik bilgileri bu sayfalarda çalınıyor. Buna ek olarak, platform oturum çerezleri ve token’ları ele geçirerek MFA korumasını atlatacak şekilde tasarlanmış durumda.

Normal şartlarda, kullanıcı MFA ile giriş yaptığında sistem bir ‘oturum token’ı’ üretip tarayıcıda saklıyor. Bu token, kimlik doğrulamanın başarıyla tamamlandığını kanıtlayan bir işaret niteliği taşıyor. Bir saldırgan bu token’ı ele geçirdiğinde, ek doğrulama adımlarını atlayarak hesabı gerçek sahibi gibi kullanabiliyor. Coinbase, “İyi kurgulanmış bir oltalama senaryosuna oturum token’ı hırsızlığı da eklendiğinde, oltalama saldırıları hesap ele geçirme gibi daha büyük suçlara açılan ‘güvenilir bir kapı’ haline geliyor” uyarısını yaptı. Şirket, bunun kurumsal e-posta ele geçirme(BEC), sahte fatura(‘invoice’) dolandırıcılığı ve farklı sosyal mühendislik saldırılarına zemin hazırladığına dikkat çekti.

Tycoon 2FA’nın en az 2023’ten bu yana faaliyette olduğu düşünülüyor. Microsoft(MSFT) Dijital Suçlarla Mücadele Birimi(DCU) hukuk ekibinden başkan yardımcısı Stephen Masada(Stephen Masada), “2025 yılının ortası itibarıyla Microsoft’un engellediği oltalama girişimlerinin yüzde 62’si Tycoon ile bağlantılıydı ve ayda 30 milyonun üzerinde e-posta tespit edildi” bilgisini paylaştı. Masada, “Teknik eşik o kadar aşağı çekildi ki, düşük yetkinlikteki suçlular bile son derece sofistike taklit kampanyaları yürütebilmeye başladı. Bu yönüyle Tycoon 2FA, dünya çapındaki en büyük oltalama operasyonlarından biri haline geldi” yorumunu yaptı.

Masada’ya göre saldırıların hedefi belirli bir sektörle sınırlı değildi. Sağlıktan eğitime kadar pek çok alandaki kurum Tycoon 2FA’nın saldırılarına maruz kaldı. Bunun sonucu olarak ödeme talimatlarında hesap numaralarının değiştirilmesi gibi ‘ödeme kanalı’ manipülasyonları, hassas verilerin çalınması, ağların kilitlenmesi ve hasta bakımında aksamalar gibi çok somut hasarlar ortaya çıktı. Masada, “Bu altyapının devre dışı kalması, hesap ele geçirme saldırılarına giden temel yolu kesiyor ve veri hırsızlığı, fidye yazılımları, kurumsal e-posta ele geçirme(BEC) ve finansal dolandırıcılık gibi takip eden saldırılara karşı bireyleri ve kurumları korumaya yardımcı oluyor” dedi.

Oltalama saldırıları, kripto piyasasında da ‘temel tehditler’ arasında gösteriliyor. Blokzincir güvenlik şirketi CertiK, 2025’te oltalama dolandırıcılığını kripto alanındaki ‘ikinci en büyük tehdit’ olarak sınıflandırdı. Şirketin verilerine göre 248 farklı olayda kripto yatırımcılarının karşılaştığı zarar toplamda 722 milyon doların(1 trilyon 591 milyar won) üzerine çıktı. Bir diğer güvenlik firması PeckShield ise 2026 boyunca da oltalamanın ‘kalıcı bir tehdit’ olarak varlığını sürdürdüğünü vurguladı.

Sektör uzmanları, Tycoon 2FA altyapısının çökertilmesinin oltalama ekosistemini bir anda tuzla buz etmekten ziyade, suçluların operasyon maliyetlerini ve yakalanma riskini artırmaya odaklandığı görüşünde birleşiyor. Yine de MFA’yı atlatan oltalama saldırılarının bugüne kadar geniş çaplı hesap ele geçirme ve finansal dolandırıcılıklara kapı aradığı düşünüldüğünde, benzer ‘hizmet olarak oltalama’ platformlarını hedef alan yeni uluslararası operasyonların gelip gelmeyeceği kripto yatırımcıları ve siber güvenlik çevreleri tarafından yakından izleniyor.