« Stern » sanctionné : ce que l'action contre Trickbot implique pour la comptabilité crypto et la conformité AML

Le 13 juillet 2026, l'Office of Foreign Assets Control (OFAC) des États-Unis, l'Office of Financial Sanctions Implementation (OFSI) du Royaume-Uni et l'Union européenne ont annoncé l'une des plus importantes actions coordonnées de cyber-sanctions jamais enregistrées. La cible principale : Vitaly Nikolayevich Kovalev, alias « Stern », identifié comme l'administrateur du syndicat criminel Trickbot et largement décrit comme potentiellement l'opérateur de ransomware le plus prolifique jamais désigné. Pour les cabinets comptables, les auditeurs et les directeurs financiers utilisant des logiciels de comptabilité crypto ou gérant des portefeuilles clients exposés aux cryptomonnaies, les implications sont immédiates et pratiques.

Qui a été désigné et pourquoi cela importe

L'action est remarquable à la fois par son ampleur et par sa coordination transversale et multi-juridictionnelle. Comprendre les désignations spécifiques est la première étape pour comprendre les obligations de conformité qui en découlent.

Vitaly Kovalev, alias « Stern »

Kovalev est un ressortissant russe et une figure senior du groupe Trickbot, le syndicat criminel derrière les souches de ransomware Ryuk, Conti, Diavol, Karakurt, Royal, 3AM, Quantum et Bitpaymer. Il a été désigné pour la première fois par l'OFAC et l'OFSI en février 2023, mais l'action de l'UE de juillet 2026 est la première fois qu'une autorité de sanction inclut formellement « Stern » comme alias dans la désignation, fournissant un lien critique pour les analystes de blockchain et les équipes de conformité.

Les portefeuilles associés à Kovalev ont reçu plus de 300 millions de dollars de paiements de rançon. Crucialement, ce chiffre représente uniquement sa part personnelle des revenus de Trickbot, pas le total du syndicat, qui est considérablement plus élevé. L'analyse de la blockchain de l'activité en chaîne de Kovalev montre qu'il a transigé avec plusieurs souches de ransomware simultanément et a également dirigé des paiements vers des membres de l'équipe pour l'entretien de l'infrastructure, les services de fournisseurs et l'approvisionnement opérationnel. Les communications internes divulguées de Conti, largement connues sous le nom de « Conti Leaks », confirment que Stern fonctionnait comme une figure de niveau PDG : contrôlant le budget du syndicat, supervisant les embauches et approuvant la planification des attaques.

Désignations OFAC : 1VPNS, Rashevskyi et Silayev

Dans une action parallèle, l'OFAC a désigné First VPN Service (1VPNS), un fournisseur VPN dont la clientèle principale comprend des acteurs de ransomware. Son administrateur, Dmytro Rashevskyi, et un fournisseur de cryptage, Yevgeniy Vladimirovich Silayev, ont été désignés aux côtés du service. L'OFAC a publié des adresses de portefeuille de cryptomonnaies liées à la fois à 1VPNS et à Rashevskyi couvrant huit blockchains : Bitcoin, Ethereum, Litecoin, Zcash, Dash, TRON, Dogecoin et Solana. La désignation a suivi une démantèlement du site Web et de l'infrastructure de 1VPNS par les forces de l'ordre européennes, avec le soutien du bureau de terrain de Boston du FBI.

Désignations UE : LummaC2, Media Land LLC, GRU Unit 29155 et groupes hacktivistes

L'action de l'UE s'est étendue au-delà de Kovalev pour couvrir un écosystème plus large de facilitateurs de ransomware. Les développeurs de l'infostealer LummaC2, Maksim Voronin et Maksim Gordienko, ont été désignés. Leur plateforme Malware-as-a-Service figurait parmi les outils infostealer les plus déployés mondialement en 2024 et 2025, capable de récolter les identifiants de navigateur, les données de portefeuille crypto et les informations système. LummaC2 avait déjà été perturbé dans le cadre d'un effort coordonné par le ministère de la Justice des États-Unis, le Centre européen de cybercriminalité d'Europol et le Centre de contrôle de la cybercriminalité du Japon à partir de mai 2025.

Media Land LLC, un fournisseur d'hébergement résistant aux prises de contrôle (bullet-proof) russe, a également été désigné. Opérant depuis 2016, il a fourni une infrastructure aux groupes de ransomware LockBit, EvilCorp et BlackBasta en offrant des services d'hébergement spécifiquement conçus pour résister aux démantèlements par les forces de l'ordre. Son propriétaire, Alexander Volosovik, a été nommé individuellement. Media Land figurait déjà sur la liste de l'OFAC en novembre 2025.

Des acteurs liés à l'État russe figurent également dans les désignations de l'UE, notamment des membres de la GRU Unit 29155. Evgeniy Bashev, identifié comme membre de la GRU Unit 29155, est spécifiquement nommé pour avoir facilité les paiements d'infrastructure et coordonné la collaboration entre la GRU et des réseaux de hackers externes. Les activités de Bashev incluent le soutien à la campagne de malware WhisperGate ciblant les infrastructures critiques ukrainiennes, qui comprenait une demande d'extorsion émise en cryptomonnaie. La Cyber Army of Russia Reborn (CARR), précédemment désignée par l'OFAC en 2024, et Z-Pentest, un groupe hacktiviste pro-russe lié à CARR qui a ciblé les infrastructures critiques dans les secteurs de l'énergie et de l'eau, y compris une compagnie des eaux danoise en décembre 2024, ont également reçu des désignations de l'UE.

Obligations de filtrage des sanctions : ce que les cabinets doivent faire maintenant

Chaque nouvelle désignation OFAC, OFSI ou UE crée une obligation immédiate de filtrer l'activité des clients et l'historique des transactions en chaîne par rapport aux listes mises à jour. La nature multi-chaînes des désignations liées à 1VPNS, couvrant huit blockchains différentes, élève la charge de filtrage bien au-dessus de ce qu'exigerait une vérification sur une seule chaîne.

Mesures immédiates pour les cabinets comptables et les auditeurs

Les cabinets fournissant des services de comptabilité ou de tenue de livres crypto devraient considérer le 14 juillet 2026 comme la date effective pour mettre à jour leurs listes de surveillance des sanctions. Les actions suivantes sont urgentes.

Premièrement, chargez les adresses de portefeuille nouvellement publiées de la liste des ressortissants spécialement désignés (SDN) de l'OFAC et de la liste consolidée des sanctions de l'UE dans votre logiciel de surveillance des transactions ou de comptabilité d'actifs numériques. La liste OFAC pour 1VPNS et Rashevskyi comprend des adresses sur Bitcoin, Ethereum, Litecoin, Zcash, Dash, TRON, Dogecoin et Solana, donc toute entreprise dont les clients effectuent des transactions sur ces chaînes doit exécuter un filtrage rétrospectif.

Deuxièmement, examinez les clients opérant dans des secteurs historiquement ciblés par les souches de ransomware affiliées à Trickbot : soins de santé, services financiers et infrastructures critiques. Là où ces clients ont effectué ou reçu des paiements en cryptomonnaies, déterminez si des adresses de contrepartie nécessitent une diligence supplémentaire en vertu des politiques AML existantes.

Troisièmement, documentez la réponse de filtrage de votre cabinet. Les régulateurs des trois juridictions attendent un processus de conformité démontrable et opportun. Un journal daté montrant quand les désignations ont été intégrées et quels comptes clients ont été filtrés sera déterminant si une enquête réglementaire survient.

Considérations au niveau du directeur financier

Les directeurs financiers d'entreprises détenant des cryptomonnaies au bilan, ou gérant des opérations de trésorerie incluant des actifs numériques, font face à deux risques distincts découlant de cette action. Le premier est l'exposition directe : tout portefeuille de contrepartie ayant transigé avec une adresse désignée peut déclencher des obligations de filtrage secondaires. Le second est réputationnel : les auditeurs demandent de plus en plus de preuves de contrôles de filtrage des sanctions dans le cadre des divulgations d'actifs crypto, et l'absence de procédures documentées attirera l'attention.

Les directeurs financiers devraient également noter l'ampleur de la désignation LummaC2. Le malware a été conçu spécifiquement pour récolter les identifiants de portefeuille crypto et les données de clés privées. Toute organisation ayant subi une infection LummaC2 en 2024 ou 2025, qu'elle l'ait su à l'époque ou non, devrait évaluer si l'accès compromis au portefeuille a créé un passif non reconnu ou un problème de chaîne de titre sur les actifs numériques toujours au bilan.

Implications AML et comptables du modèle d'application

Cette action illustre un changement délibéré dans la manière dont les autorités d'application abordent les ransomware. Plutôt que de cibler uniquement les opérateurs, les désignations atteignent désormais systématiquement la couche de facilitation : fournisseurs VPN, développeurs de crypteurs, sociétés d'hébergement résistantes et plateformes malware-as-a-service. Du point de vue de l'évaluation des risques AML, cela signifie que la population d'entités pouvant créer une exposition indirecte aux sanctions pour une entreprise légitime augmente.

Implications pour la tenue de livres crypto et l'audit

Pour les cabinets utilisant des logiciels de tenue de livres crypto pour rapprocher les transactions des clients, les divulgations de portefeuilles multi-chaînes dans cette action présentent un défi pratique. Des adresses sur huit réseaux différents sont désormais actives sur la liste SDN. Tout outil de rapprochement qui n'intègre pas les données OFAC en quasi-temps réel, ou qui manque de filtrage multi-chaînes, crée une lacune qui pourrait laisser un cabinet incapable de démontrer des contrôles adéquats.

D'un point de vue des états financiers, si les avoirs en actifs numériques d'un client sont retracés jusqu'à une contrepartie sanctionnée, les actifs peuvent devoir être reclassés. En vertu à la fois des US GAAP (ASC 350-60, le modèle de juste valeur de la FASB pour les actifs crypto) et des IFRS (IAS 38 ou IAS 32 selon la classification), un actif soumis à un risque de gel ou de saisie légal n'est pas mesurable simplement à la juste valeur. Les auditeurs devraient signaler ce scénario dans leurs procédures d'évaluation des risques pour tout client ayant des avoirs crypto importants.

Les paiements de rançon reçus par Kovalev, qui ont dépassé 300 millions de dollars pour ses seuls portefeuilles, soulèvent également une question pratique pour tout cabinet dont le client a pu payer une rançon en cryptomonnaie : les directives de l'OFAC sur les paiements de rançon précisent clairement que payer une entité désignée, même sans le savoir, peut constituer une violation des sanctions. Les cabinets conseillant des clients ayant subi des incidents de ransomware devraient revoir ces engagements à la lumière de l'identité confirmée de Stern comme étant Kovalev, désormais formellement nommé dans les trois principaux régimes de sanctions.

Comprendre comment la période transitoire de MiCA affecte les obligations de conformité des PSAC est de plus en plus pertinent ici, car les prestataires de services sur actifs numériques (PSAC) réglementés par l'UE doivent désormais intégrer ces désignations dans leurs cadres de surveillance des transactions en vertu à la fois de MiCA et de la directive AML de l'UE. De même, le modèle de sanctions cryptographiques transfrontalières est cohérent avec la trajectoire d'application que nous avons couverte en examinant les sanctions du Trésor américain sur les paiements Bitcoin pour le passage d'Ormuz et ce que les entreprises doivent faire : l'OFAC élargit la gamme d'activités en chaîne qu'il traite comme adjacentes aux SDN, et les entreprises ont besoin d'une infrastructure de filtrage qui suive le rythme.

Le signal stratégique : les facilitateurs sont désormais des cibles primaires

L'inclusion de 1VPNS, Media Land LLC et des développeurs de LummaC2 aux côtés de l'opérateur de Trickbot lui-même envoie un message clair aux professionnels de la conformité. Les autorités de sanctions ne se contentent plus de désigner uniquement les individus qui reçoivent les paiements de rançon. Elles cartographient et désignent systématiquement l'infrastructure commerciale qui rend viables les opérations de ransomware à grande échelle : les VPN, les hébergeurs, les outils d'obscurcissement et les plateformes de distribution de malwares.

Pour les cabinets comptables et les directeurs financiers, cela signifie que le périmètre du risque de sanctions dans une clientèle exposée aux cryptomonnaies est plus large que les propres adresses de portefeuille du client. Tout fournisseur, contrepartie ou processeur de paiement dans l'écosystème du client qui croise ces entités désignées crée une exposition potentielle. Les évaluations des risques qui étaient adéquates il y a six mois peuvent devoir être mises à jour maintenant que la couche de facilitation de l'économie des ransomware a un statut SDN formel dans les trois principaux régimes de sanctions occidentaux.

Questions fréquemment posées

La désignation « Stern » par l'UE change-t-elle quelque chose si l'OFAC a déjà désigné Kovalev en 2023 ?

Oui. La désignation de l'UE introduit formellement l'alias « Stern » comme identifiant lié à Kovalev pour la première fois dans tout régime de sanctions. Cela importe pour les systèmes de filtrage qui correspondent sur les alias ainsi que sur les noms légaux : les entreprises opérant sous juridiction de l'UE ont désormais une obligation explicite de filtrer cet alias, et les analystes de blockchain peuvent utiliser les données d'adresses en chaîne de l'UE pour enrichir leur surveillance existante.

Quelles blockchains sont couvertes par les désignations de portefeuilles OFAC liées à 1VPNS ?

L'OFAC a publié des adresses sur huit réseaux : Bitcoin, Ethereum, Litecoin, Zcash, Dash, TRON, Dogecoin et Solana. Les entreprises dont les clients effectuent des transactions sur l'une de ces chaînes devraient exécuter un filtrage rétrospectif immédiat contre les adresses nouvellement publiées.

Si un client a payé une rançon en cryptomonnaie avant que Kovalev soit identifié comme Stern, y a-t-il toujours un risque de sanctions ?

Potentiellement. La posture d'application de l'OFAC sur les paiements de rançon a constamment soutenu que payer une entité désignée, même sans connaissance de son statut désigné, peut constituer une violation. L'identification formelle de Kovalev comme Stern signifie que les entreprises conseillant sur des incidents de ransomware historiques devraient réévaluer ces cas. Un conseil juridique ayant une expertise de l'OFAC devrait être impliqué dans toute telle révision.

Comment les auditeurs devraient-ils traiter les actifs crypto qui ont pu passer par une adresse sanctionnée ?

Lorsqu'un auditeur identifie que les avoirs en actifs numériques d'un client sont liés, même indirectement, à une contrepartie sanctionnée, ces actifs peuvent comporter un risque de gel ou de saisie légal. Ce risque affecte la mesure à la juste valeur en vertu des cadres ASC 350-60 et IFRS. Les auditeurs devraient documenter l'évaluation, considérer si une divulgation est requise et évaluer si l'actif devrait être reclassé en attendant une clarification légale.

Cette action crée-t-elle de nouvelles obligations pour les PSAC réglementés par l'UE en vertu de MiCA ?

MiCA ne crée pas en soi des obligations de sanctions, mais les PSAC autorisés en vertu de MiCA sont soumis à la directive AML de l'UE et au règlement sur le transfert de fonds de l'UE, qui exigent tous deux un filtrage par rapport à la liste consolidée des sanctions de l'UE. Les nouvelles désignations doivent être intégrées rapidement dans les systèmes de surveillance des transactions. Les PSAC qui ne peuvent pas démontrer une intégration en temps utile des listes de sanctions mises à jour font face à un risque de supervision lors des examens de conformité MiCA. Voir notre couverture de comment la période transitoire de MiCA affecte les obligations de conformité des PSAC pour le cadre plus large.

Source : Chainalysis