Sanctions de l'UE contre 'Stern' : le boss de Trickbot et la piste de la rançon de 300 millions de dollars
Le 14 juillet 2026, l'Union européenne, les États-Unis et le Royaume-Uni ont agi de concert pour sanctionner l'un des réseaux de ransomwares les plus destructeurs jamais identifiés. La pièce maîtresse est Vitaly Nikolayevich Kovalev, connu en ligne sous le nom de "Stern", dont les portefeuilles de cryptomonnaies ont reçu plus de 300 millions de dollars de rançons, un chiffre qui exclut les sommes bien plus importantes collectées par le syndicat Trickbot dans son ensemble. Pour les cabinets comptables, les auditeurs et les directeurs financiers opérant dans le domaine des actifs numériques, cette action crée des obligations immédiates de filtrage OFAC, OFSI et UE, et exerce une pression supplémentaire sur les flux de travail des logiciels de comptabilité crypto qui touchent à la surveillance des transactions blockchain.
Qui a été sanctionné et pourquoi c'est important
L'opération a ciblé non seulement les opérateurs de ransomwares, mais aussi l'ensemble de la couche d'infrastructure qui rend les ransomwares possibles : les fournisseurs de VPN, les développeurs de crypteurs, les services d'hébergement à l'épreuve des balles et les unités de piratage liées à l'État. Comprendre chaque désignation est la première étape pour évaluer l'exposition.
Vitaly Kovalev, alias "Stern"
Kovalev a été sanctionné pour la première fois par l'OFAC et l'Office of Financial Sanctions Implementation (OFSI) du Royaume-Uni le 9 février 2023. L'action de l'UE du 14 juillet 2026 est importante pour deux raisons : c'est la première fois qu'une autorité de sanctions inscrit officiellement "Stern" comme identifiant, et elle fournit le récit public le plus détaillé à ce jour de son rôle. Selon la désignation de l'UE, Kovalev agissait comme une figure de type PDG au sein du groupe Trickbot, ayant la discrétion sur son budget, ses achats, ses embauches et la planification des attaques. Des communications internes divulguées du groupe, connues publiquement sous le nom de Conti Leaks, corroborent cette description.
Les portefeuilles liés à Kovalev ont interagi avec un ensemble inhabituellement large de souches de ransomwares : Ryuk, Conti, Diavol, Karakurt, Royal, 3AM, Quantum et BitPaymer. Cette ampleur reflète sa position au sommet du syndicat plutôt que celle d'un opérateur d'une seule souche. Le chiffre de 300 millions de dollars ne représente que sa part personnelle ; les produits totaux des ransomwares de Trickbot sont considérablement plus importants.
Avec l'action de l'UE d'aujourd'hui, le nombre total de membres de Trickbot sanctionnés dans les trois juridictions passe à 19.
First VPN Service (1VPNS), Dmytro Rashevskyi et Yevgeniy Silayev
L'OFAC a désigné 1VPNS, un fournisseur de VPN dont la clientèle principale comprend des acteurs de ransomwares, ainsi que son administrateur Dmytro Rashevskyi et le fournisseur de crypteurs Yevgeniy Vladimirovich Silayev. L'OFAC a identifié des adresses de portefeuille de cryptomonnaies liées à 1VPNS et Rashevskyi sur plusieurs blockchains : Bitcoin, Ethereum, Litecoin, Zcash, Dash, TRON, Dogecoin et Solana. L'empreinte multi-chaîne constitue un défi de conformité direct pour les entreprises utilisant un logiciel de comptabilité d'actifs numériques qui peut ne pas couvrir chacune de ces chaînes dans son flux de filtrage.
L'action de l'OFAC a fait suite à une saisie du site Web et de l'infrastructure de 1VPNS par les forces de l'ordre européennes, soutenues par le bureau de terrain du FBI à Boston.
Développeurs de LummaC2
L'UE a désigné Maksim Voronin et Maksim Gordienko, développeurs de LummaC2, un infostealer Malware-as-a-Service qui figurait parmi les outils de vol d'identifiants les plus largement déployés au monde en 2024 et 2025. LummaC2 cible les identifiants de navigateur, les données système et les portefeuilles de cryptomonnaies. Une perturbation coordonnée de la plateforme a été menée en mai 2025 par le département de la Justice des États-Unis, le Centre européen de lutte contre la cybercriminalité d'Europol et le Centre de contrôle de la cybercriminalité du Japon.
Media Land LLC et Alexander Volosovik
Media Land LLC est un fournisseur d'hébergement à l'épreuve des balles russe qui a facilité les opérations de ransomwares, notamment LockBit, EvilCorp et BlackBasta, depuis 2016. L'OFAC avait précédemment désigné l'entité en novembre 2025. L'inscription parallèle par l'UE de son propriétaire Alexander Volosovik étend la portée juridictionnelle de cette action antérieure.
Acteurs liés à l'État russe : GRU Unit 29155 et groupes hacktivistes
L'UE a désigné des membres du GRU Unit 29155, une unité de renseignement militaire russe liée à des cyberattaques destructrices contre des infrastructures critiques dans les États membres de l'UE et en Ukraine. Evgeniy Viktorovich Bashev, identifié comme un membre du GRU Unit 29155, est spécifiquement noté pour avoir facilité la campagne de malwares WhisperGate contre les infrastructures critiques ukrainiennes, qui comprenait une demande d'extorsion libellée en cryptomonnaie.
L'action couvre également la Cyber Army of Russia Reborn (CARR), précédemment désignée par l'OFAC en 2024, et Z-Pentest, un groupe hacktiviste pro-russe ayant des liens avec CARR qui a ciblé les infrastructures énergétiques et hydrauliques, notamment une entreprise de distribution d'eau danoise en décembre 2024.
Les obligations de conformité déclenchées pour les entreprises
Toute personne ou entité de l'UE, des États-Unis et du Royaume-Uni se voit désormais interdire de transiger avec les individus et organisations désignés. Pour les entreprises utilisant un logiciel de comptabilité d'actifs numériques ou un logiciel de comptabilité crypto, les exigences pratiques se répartissent en trois catégories.
Filtrage des listes de sanctions
Les adresses de portefeuille nouvellement répertoriées couvrent Bitcoin, Ethereum, Litecoin, Zcash, Dash, TRON, Dogecoin et Solana. Les entreprises doivent s'assurer que leur surveillance des transactions couvre les huit chaînes, pas seulement les deux principales. Toute exposition de contrepartie historique ou actuelle à ces adresses doit être identifiée, documentée et signalée à l'autorité de sanctions compétente : l'OFAC pour les personnes américaines, l'OFSI pour les personnes britanniques et l'autorité nationale compétente pour les personnes de l'UE. Ne pas signaler une correspondance, même involontaire, est un risque de responsabilité stricte aux États-Unis.
Devoir de diligence à l'égard des clients et des contreparties
Les cabinets comptables et les directeurs financiers qui intègrent de nouveaux clients d'actifs numériques, ou qui examinent les clients existants, doivent relancer les vérifications de diligence raisonnable renforcées par rapport à la liste SDN mise à jour de l'OFAC, à la liste consolidée des sanctions du Royaume-Uni et à la liste consolidée des gels d'avoirs de l'UE. La décision de l'UE d'inscrire officiellement l'alias "Stern" comme identifiant signifie que les algorithmes de correspondance de noms qui recherchaient auparavant uniquement "Kovalev" peuvent avoir manqué une correspondance réelle. La couverture des alias dans les systèmes KYC doit être vérifiée.
La nature de l'économie des ransomwares signifie également que des entreprises légitimes peuvent avoir payé des rançons à des portefeuilles affiliés à Trickbot au cours des années précédentes, souvent sous la contrainte et parfois sans connaître le destinataire final. Les auditeurs doivent déterminer si des clients divulguent des paiements de rançon antérieurs dans les notes aux états financiers et si ces paiements nécessitent un signalement rétrospectif des sanctions.
Surveillance des transactions et flux de travail des logiciels de comptabilité crypto
La communauté de l'analyse de la blockchain a étiqueté les adresses nouvellement désignées dans ses produits de surveillance. Les entreprises qui s'appuient sur un logiciel de comptabilité crypto intégrant un filtrage en direct des sanctions recevront des alertes automatiques lorsqu'un portefeuille de leur portefeuille transige ou a transigé avec une adresse désignée. Les entreprises qui s'appuient sur des contrôles manuels périodiques sont confrontées à une fenêtre plus large d'exposition non détectée. Cette mesure d'exécution est un argument pratique en faveur du passage à un filtrage automatisé continu plutôt qu'à des examens par lots ponctuels.
Pour le contexte sur la façon dont les preuves d'analyse de la blockchain sont traitées dans les procédures formelles, voir notre couverture précédente de l'admissibilité de l'analyse de la blockchain après l'arrêt Daubert. Comprendre les normes de preuve est important car la même méthodologie de traçage des transactions utilisée pour construire l'affaire Stern pourrait être appliquée à l'historique en chaîne de vos propres clients dans le cadre d'une enquête réglementaire.
Implications comptables : ce qui figure dans les livres
Les sanctions soulèvent plusieurs questions comptables distinctes que les entreprises conseillant des clients en actifs numériques doivent aborder.
Gel des actifs et dépréciation
Tout actif crypto détenu dans un portefeuille désormais lié à une personne désignée est effectivement gelé. Selon les IFRS et les US GAAP, un actif auquel on ne peut accéder, vendre ou transférer sans autorisation réglementaire n'est plus liquide au sens conventionnel. Les entreprises doivent évaluer si les avoirs des clients touchant des adresses désignées nécessitent une constatation de dépréciation ou un reclassement au bilan. Lorsqu'un client est lui-même la partie sanctionnée, la mission professionnelle du cabinet peut devoir être résiliée immédiatement pour éviter de faciliter une transaction interdite.
Divulgation des paiements de rançon
Si un client d'audit a payé une rançon à un portefeuille affilié à Trickbot au cours d'une période antérieure, ce paiement peut constituer une transaction non autorisée avec une partie sanctionnée, même s'il précède la désignation formelle. Les directives de l'OFAC sur l'exposition rétrospective sont nuancées : les paiements effectués avant la désignation ne nécessitent généralement pas de licence rétroactivement, mais les paiements effectués après une date de désignation antérieure (Kovalev a été inscrit pour la première fois en février 2023) sont une question différente. Les auditeurs doivent signaler tout paiement de rançon antérieur non divulgué pour examen juridique.
Divulgation des passifs dans les états financiers
Les entités qui découvrent une exposition à des portefeuilles désignés sont confrontées à des sanctions civiles potentielles. Selon IAS 37 et ASC 450, un passif éventuel doit être divulgué et éventuellement provisionné si une pénalité est probable et peut être estimée raisonnablement. La nature de responsabilité stricte du droit américain des sanctions signifie que même une exposition involontaire peut générer un passif que les auditeurs ne peuvent tout simplement pas ignorer.
Tendance plus large de l'application : cibler l'écosystème
Ce qui distingue l'action du 14 juillet 2026 des précédentes mesures de répression des ransomwares, c'est le ciblage explicite des fournisseurs d'infrastructure : le service VPN qui masquait les identités des opérateurs, le crypteur qui obscurcissait les malwares et l'hébergement à l'épreuve des balles qui maintenait les serveurs en ligne malgré les demandes de saisie. Cela signale une évolution stratégique. Les autorités ne se contentent plus de sanctionner uniquement l'opérateur de ransomware ; elles travaillent à travers chaque couche de la chaîne d'approvisionnement.
Pour les professionnels de la comptabilité et de la conformité, ce changement a un analogue direct. Tout comme les autorités tiennent désormais les fournisseurs d'hébergement et les opérateurs VPN responsables d'avoir facilité les ransomwares, les régulateurs examinent si les intermédiaires financiers, y compris les cabinets comptables, ont fourni des services qui ont facilité le mouvement des produits illicites des cryptomonnaies. La norme appliquée n'est pas l'intention mais la question de savoir si des contrôles adéquats étaient en place.
Cela est directement lié aux orientations plus larges sur les signaux d'alerte LBC qui ont émergé dans toutes les juridictions. Pour un angle connexe, voir notre analyse des signaux d'alerte LBC autour des mixeurs et des pièces de confidentialité, qui couvre la façon dont les outils d'obscurcissement comme ceux utilisés par les affiliés de Trickbot sont de plus en plus traités comme des indicateurs autonomes d'intention illicite.
Mesures immédiates pour les cabinets comptables et les directeurs financiers
Les étapes suivantes ne constituent pas un avis juridique exhaustif mais reflètent le niveau de soin attendu d'une fonction de conformité prudente à la suite d'une action majeure en matière de sanctions.
Liste de contrôle à court terme
Filtrez toutes les adresses de portefeuille d'actifs numériques actuelles et récentes détenues par des clients ou avec lesquelles des clients ont transigé par rapport à la liste SDN mise à jour de l'OFAC, à la liste consolidée du Royaume-Uni et à la liste de gels d'avoirs de l'UE. Portez une attention particulière aux huit blockchains nommées dans la désignation 1VPNS : Bitcoin, Ethereum, Litecoin, Zcash, Dash, TRON, Dogecoin et Solana. Vérifiez que votre logiciel de comptabilité crypto ou logiciel de comptabilité d'actifs numériques reçoit des mises à jour en temps utile de sa base de données d'adresses de sanctions, idéalement en temps réel. Examinez la couverture des alias dans vos systèmes KYC pour garantir que "Stern" et d'autres alias nouvellement officialisés génèrent une correspondance. Si une exposition est identifiée, demandez immédiatement un avis juridique avant d'entreprendre toute action qui pourrait elle-même constituer une transaction interdite, comme le retour de fonds à un portefeuille sanctionné.
Pour les directeurs financiers d'entreprises qui ont subi des attaques de ransomwares au cours des dernières années, le moment est venu d'examiner si une rançon a été payée à un portefeuille pouvant être lié à une infrastructure affiliée à Trickbot, et de consulter un avocat spécialisé dans les sanctions sur les obligations de divulgation.
Foire aux questions
Qui est "Stern" et pourquoi la désignation de l'UE est-elle importante ?
"Stern" est l'alias en ligne de Vitaly Nikolayevich Kovalev, un ressortissant russe identifié comme administrateur principal du syndicat criminel Trickbot, qui exploitait les souches de ransomwares Conti, Ryuk et apparentées. Il a été sanctionné pour la première fois par les États-Unis et le Royaume-Uni en février 2023. La désignation de l'UE en juillet 2026 est importante car elle inscrit formellement "Stern" comme identifiant pour la première fois et fournit des détails supplémentaires sur son rôle opérationnel, ce qui importe pour les entreprises qui effectuent un filtrage KYC basé sur des alias.
Le chiffre de 300 millions de dollars représente-t-il le produit total des ransomwares de Trickbot ?
Non. Les 300 millions de dollars ne représentent que les paiements de rançon reçus par les portefeuilles spécifiquement liés à Kovalev personnellement. Le produit global de Trickbot sur l'ensemble de ses opérations est considérablement plus important. La part de Kovalev reflète sa position au sommet de la hiérarchie du syndicat plutôt que le revenu total du groupe.
Quelles blockchains sont couvertes par les nouvelles désignations d'adresses de portefeuille ?
L'OFAC a identifié des adresses de portefeuille liées à 1VPNS et à son administrateur sur Bitcoin, Ethereum, Litecoin, Zcash, Dash, TRON, Dogecoin et Solana. Les entreprises doivent s'assurer que leur surveillance des transactions et leur logiciel de comptabilité crypto couvrent les huit chaînes, pas seulement les deux ou trois plus courantes.
Que doit faire un auditeur si un client a précédemment payé une rançon à un portefeuille lié à Trickbot ?
La première étape consiste à établir la date de paiement par rapport aux dates de désignation des sanctions pertinentes. Les paiements effectués après une date de désignation sont un sujet de responsabilité stricte aux États-Unis et nécessitent un examen juridique immédiat. Les paiements antérieurs à toutes les désignations comportent un risque plus faible mais non nul. Dans les deux cas, l'auditeur doit déterminer si le paiement nécessite une divulgation selon IAS 37 ou ASC 450 en tant que passif éventuel, et s'il a été correctement comptabilisé et divulgué dans les états financiers à l'époque.
Pourquoi les fournisseurs de VPN et les sociétés d'hébergement sont-ils désormais sanctionnés aux côtés des opérateurs de ransomwares ?
Les autorités sont passées du ciblage des opérateurs individuels de ransomwares au démantèlement de l'ensemble de l'infrastructure de soutien. Les fournisseurs de VPN, les crypteurs et les services d'hébergement à l'épreuve des balles sont des facilitateurs essentiels : ils masquent les identités, obscurcissent les malwares et maintiennent les serveurs de commande et de contrôle en ligne. En sanctionnant ces fournisseurs, les régulateurs exercent une pression financière et juridique sur quiconque continue de les utiliser ou de les soutenir, qu'il soit ou non directement impliqué dans des attaques de ransomwares.
Source : Chainalysis