マイクロソフトとコインベースは、EvilTokensを解体した。EvilTokensは、マイクロソフトが内部でStorm-2992として追跡していたテレグラムを基盤とするフィッシング・アズ・ア・サービスのプラットフォームで、1万を超える組織の1万2000件以上のMicrosoft 365受信トレイを侵害していた。サービスはマイクロソフトの正規のデバイス認証グラント・フローを悪用し、パスワードを盗むことなく永続的なOAuthアクセスを取得していた。これにより、通常は多要素認証によって提供される保護を攻撃者が回避できた。英首都警察は9月11日に運営者を逮捕し、デジタル機器を押収した。摘発では50のウェブサイトが差し押さえられ、関連する175以上のドメインが停止された。ブロックチェーン分析によると、EvilTokensは2025年10月から2026年6月にかけて、トロンの4つのアドレスを通じて約110万ドルを生み出していた。700を超える固有の送金元から1000件以上の入金を受けていたという。コインベースは、自社プラットフォームの認証情報は侵害されていないと説明した。一方、一部の顧客はメールで誘導され、詐欺師が管理するアドレスに仮想通貨を送金していた。