Liên minh châu Âu đã trừng phạt Vitaly Nikolayevich Kovalev, người bị cáo buộc điều hành mạng ransomware Trickbot dưới biệt danh “Stern”.
Động thái này diễn ra cùng với Mỹ và Anh, đồng thời mở rộng sang nhiều dịch vụ và cá nhân liên quan đến hạ tầng hỗ trợ tội phạm mạng hoạt động và rửa tiền qua crypto.
- EU lần đầu gắn tên Kovalev với biệt danh “Stern” trong một gói trừng phạt.
- 1VPN Service, các nhà phát triển LummaC2 và một số thực thể khác cũng bị đưa vào danh sách.
- Biện pháp này công khai các ví tiền on-chain, gây khó hơn cho việc chuyển tiền qua sàn và dịch vụ tài chính.
Vitaly Nikolayevich Kovalev bị EU trừng phạt
Vitaly Nikolayevich Kovalev là một công dân Nga 36 tuổi, bị cho là đứng sau Trickbot ransomware syndicate dưới biệt danh “Stern”. Đây là lần đầu một cơ quan trừng phạt chính thức nêu đích danh “Stern” là Kovalev.
Mỹ và Anh đã trừng phạt Kovalev từ tháng 2/2023, nhưng khi đó các danh sách liên quan đến những tên khác là “Ben” và “Bentley”. Đến tháng 5/2025, cảnh sát liên bang Đức BKA công khai nêu ông là người đứng sau “Stern”, sau đó Interpol phát lệnh truy nã đỏ.
Trickbot và Conti vận hành như một tổ chức có cấu trúc
Trickbot và Conti được mô tả là các nhóm tội phạm mạng có cấu trúc giống doanh nghiệp, với Kovalev giữ vai trò lãnh đạo kiểu “CEO”. Các tin nhắn nội bộ bị rò rỉ cho thấy ông có quyền quyết định về ngân sách, tuyển dụng và kế hoạch tấn công.
Nhóm này được cho là có hơn 100 thành viên, có văn phòng vật lý và trả lương bằng Bitcoin. Cách vận hành đó cho thấy ransomware đã phát triển thành một mô hình tổ chức chặt chẽ, không còn là hoạt động đơn lẻ.
Thiệt hại và dòng tiền liên quan đến Kovalev
Nhóm của Kovalev bị cáo buộc tấn công hơn 1.000 tổ chức trên toàn cầu, bao gồm Cơ quan Y tế Ireland trong giai đoạn COVID-19, hãng trang sức Graff, cùng nhiều bệnh viện và ngân hàng ở Mỹ và châu Âu. Riêng năm 2021, số tiền ước tính thu được là 180 triệu USD.
Kovalev cũng bị cho là đã chuyển các khoản tiền liên quan đến nhiều biến thể ransomware như Ryuk, Conti, Diavol, Karakurt, Royal, Quantum và Bitpaymer. Ví của ông được cho là đã nhận hơn 300 triệu USD như phần cá nhân từ tiền chuộc.
EU còn nhắm vào 1VPNS, LummaC2 và nhiều thực thể khác
EU cũng trừng phạt First VPN Service (1VPNS) và quản trị viên Dmytro Rashevskyi. Dịch vụ này bị cáo buộc giúp tội phạm che giấu lưu lượng internet và vị trí thật, đồng thời quảng bá việc không lưu nhật ký và không hợp tác với cơ quan thực thi pháp luật.
Nhà chức trách đã liên kết ví với nền tảng này và người quản trị trên tám blockchain, gồm Bitcoin, Zcash, Dogecoin, Ethereum, Litecoin, Dash, TRON và Solana. Website của 1VPNS đã bị gỡ xuống vào tháng 5/2026 với sự hỗ trợ của FBI tại Boston.
Danh sách trừng phạt còn có các nhà phát triển LummaC2 là Maksim Voronin và Maksim Gordienko, cùng với Yevgeniy Silayev, Media Land LLC, Đơn vị 29155 của GRU Nga và các nhóm hacktivist thân Nga CARR và Z-Pentest.
Ý nghĩa với crypto và hạ tầng tội phạm mạng
Việc công khai địa chỉ ví on-chain của Kovalev làm tăng rào cản khi chuyển tiền qua sàn giao dịch và các dịch vụ tài chính. Đây cũng là cách nhắm vào hạ tầng hỗ trợ phía sau các chiến dịch ransomware, thay vì chỉ tập trung vào nhóm tấn công trực tiếp.
Trong ngắn hạn, thị trường crypto không bị tác động theo hướng giá cả, nhưng các ví, dịch vụ và thực thể bị nêu tên có thể bị giám sát chặt hơn. Diễn biến tiếp theo cần theo dõi là cách các cơ quan châu Âu, Mỹ và Anh tiếp tục phối hợp trong các biện pháp chống tội phạm mạng liên quan đến tài sản số.
Tổng kết
Gói trừng phạt mới của EU không chỉ nhắm vào Kovalev mà còn mở rộng sang các dịch vụ và mạng lưới hỗ trợ ransomware, trong đó có các thực thể dùng crypto để che giấu và luân chuyển tiền.
