Microsoft y Coinbase ayudaron a desmantelar EvilTokens, un servicio de phishing impulsado por IA que comprometió más de 12.000 bandejas de entrada y alcanzó a más de 10.000 organizaciones en servicios financieros, inmobiliario, sanidad y construcción. La suscripción, gestionada desde Telegram, cobraba una cuota de entrada de 1.500 dólares más una cuota recurrente de 500 dólares, y en la operación se intervinieron 50 sitios web y más de 150 dominios vinculados al entramado.
Por qué importa
El caso es una de las demostraciones más claras recientes de cómo la investigación on-chain puede convertir un delito que protege la privacidad en uno rastreable. EvilTokens blanqueó los ingresos de sus suscripciones a través de cuatro direcciones de Tron, pero cada depósito dejó un registro permanente que Coinbase pudo seguir hacia atrás hasta los operadores y hacia delante hasta los destinos de retirada del dinero. Ese mismo rastro ha sido históricamente invisible en los sistemas bancarios fiat, donde los registros vinculados a citaciones judiciales suelen llegar semanas después que el dinero. La operación también saca a la luz una vulnerabilidad estructural en el flujo de autenticación device-code de Microsoft, diseñado para smart TVs y equipos de videoconferencia que no admiten fácilmente los inicios de sesión estándar en el navegador. Los atacantes iniciaban ellos mismos la solicitud y luego engañaban a las víctimas para que la aprobaran mediante correos de phishing disfrazados de facturas y archivos compartidos.
Impacto en el mercado
Para el sector cripto, la operación se suma a un conjunto creciente de evidencias de que los equipos de inteligencia de los exchanges pueden producir atribuciones con validez judicial en cuestión de meses. Coinbase señaló que sus pruebas contribuyeron a la acción civil de Microsoft y a las detenciones llevadas a cabo por la Policía Metropolitana de Londres el 11 de septiembre, con dos hombres puestos en libertad bajo fianza condicional. El exchange también identificó a compradores de EvilTokens activos en su propia plataforma y los derivó a las fuerzas de seguridad. Microsoft advirtió, sin embargo, que eliminar la infraestructura actual no acabará con el método, y que los operadores ya habían señalado planes para ampliar el kit de herramientas a cuentas de Gmail y Okta.
Preguntas frecuentes
-
¿Cómo comprometió realmente EvilTokens las bandejas de entrada de Microsoft?
Los atacantes iniciaban ellos mismos las solicitudes de autenticación device-code de Microsoft y luego engañaban a las víctimas para que las aprobaran en el sitio legítimo de Microsoft mediante correos de phishing disfrazados de facturas, archivos compartidos y otras comunicaciones empresariales rutinarias.
-
¿Qué es la autenticación device-code y por qué se está abusando de ella?
Es un flujo legítimo de inicio de sesión de Microsoft pensado para dispositivos como smart TVs y equipos de videoconferencia que no admiten fácilmente los inicios de sesión estándar en el navegador. Los atacantes la abusan iniciando la solicitud y engañando a las víctimas para que la aprueben en el sitio legítimo de…
-
¿Cuánto ganó EvilTokens y cómo se rastreó?
Coinbase rastreó alrededor de 1,1 millones de dólares en ingresos de la plataforma a través de cuatro direcciones de Tron entre octubre de 2025 y junio de 2026, identificando más de 1.000 depósitos desde más de 700 carteras distintas y mapeando los flujos hasta sus destinos finales de retirada.
-
¿Quién fue detenido en la operación contra EvilTokens?
La policía británica detuvo a dos hombres el 11 de septiembre bajo sospecha de delitos relacionados con la supuesta operación. Ambos quedaron posteriormente en libertad bajo fianza condicional a la espera de nuevas pesquisas.
-
¿Qué recomienda Microsoft para protegerse de este método de ataque?
Microsoft recomienda bloquear la autenticación device-code cuando no sea necesaria y restringirla estrechamente cuando lo sea por motivos operativos. Ante la sospecha de compromiso, aconseja revocar los refresh tokens, forzar la reautenticación y, en algunos casos, desactivar temporalmente la cuenta.
CoinDesk
CoinTelegraph
Crypto News
Lookonchain
WuBlockchain
TheBlock