Le FBI saisit le domaine de l'hébergeur bulletproof Virtualine

Le FBI saisit virtualine.net avec trois polices européennes

Selon une analyse publiée par TRM Labs le 28 octobre 2026, le bureau de terrain de Washington du Federal Bureau of Investigation (FBI) et le parquet fédéral du district est de la Virginie (« US Attorney's Office for the Eastern District of Virginia ») ont annoncé le 27 octobre la saisie du domaine virtualine.net. Les comptes rendus de cette annonce, cités par TRM Labs, nomment trois partenaires européens : la Polizei Hessen en Allemagne, la Politie Midden-Nederland aux Pays-Bas et la National Crime Agency (NCA) au Royaume-Uni.

TRM Labs décrit Virtualine comme un hébergeur russophone dit « bulletproof » : ce type de prestataire loue serveurs, domaines et capacité réseau en mettant en avant sa résistance aux plaintes pour abus et aux demandes des forces de l'ordre. Selon l'analyse de TRM Labs du 28 octobre, Virtualine s'est inscrit sur le forum cybercriminel Exploit le 28 août 2024, revendique une activité depuis 2019, affichait des offres à partir de 0,79 dollar par mois et se joignait par deux comptes Telegram.

La page de TRM Labs ne fait état d'aucune arrestation ni d'aucune poursuite visant l'opérateur de Virtualine.

Une place de marché russe de drogue a fourni environ 44 % des paiements directs

TRM Labs a étudié les adresses Bitcoin qu'elle attribue à Virtualine. Selon son analyse du 28 octobre 2026, l'hébergeur a reçu depuis le début de 2026 plus de valeur d'origine illicite attribuée que tout autre hébergeur bulletproof suivi par la société, alors qu'il se classe derrière plusieurs concurrents en flux entrants totaux. Les flux entrants directs de Virtualine se répartissent ainsi, selon TRM Labs, qui ne précise la période que pour le réseau de sextorsion (envois de février à juin 2026) :

Contrepartie directe	Part des flux entrants directs	Période
Place de marché russe de drogue	environ 44 %	2026
Réseau de sextorsion	environ 17 %	février à juin 2026
Mixeur	environ 13 %	2026
Groupes de rançongiciels	environ 5 %	2026

TRM Labs précise que ces paiements attestent des relations financières avec Virtualine, sans indiquer à eux seuls quelles attaques ou quels services fonctionnaient sur ses serveurs. La société ne publie que des parts relatives, sans montant total reçu par l'hébergeur, et ne nomme ni la place de marché, ni le réseau de sextorsion, ni le mixeur.

Toujours selon TRM Labs, Virtualine a également reçu des paiements du logiciel voleur de données StealC (« infostealer ») tout au long de 2026, ainsi qu'un paiement de Volhav, un autre hébergeur bulletproof. TRM Labs indique que les prestataires de ce marché se revendent des infrastructures entre eux.

Les transferts vers les hébergeurs bulletproof suivis par TRM ont augmenté de 60 %

Sur l'ensemble des hébergeurs bulletproof qu'elle étiquette, TRM Labs relève dans son analyse du 28 octobre 2026 une valeur trimestrielle des flux entrants supérieure d'environ 4 % au troisième trimestre 2026 par rapport au premier trimestre 2025. Le nombre de transferts entrants est, lui, 60 % plus élevé sur la même comparaison. Selon TRM Labs, les deux mesures ont fluctué sur la période.

Ce secteur avait déjà fait l'objet de sanctions financières. Le 1er juillet 2025, l'Office of Foreign Assets Control (OFAC) du Trésor américain, en coordination avec la NCA britannique, a sanctionné l'hébergeur Aeza Group, basé en Russie, et quatre de ses dirigeants. TRM Labs indiquait à cette date que l'adresse crypto visée par la désignation avait reçu plus de 350 000 dollars.

Le 20 novembre 2025, l'OFAC, en coordination avec l'Australie et le Royaume-Uni, a annoncé des sanctions contre l'hébergeur Media Land et son directeur Aleksandr Volosovik. Selon TRM Labs à cette date, les adresses liées à Yalishanda, pseudonyme de ce dirigeant, et au service Abushost avaient reçu plus de 2 millions de dollars. L'OFAC a aussi désigné ce jour-là Hypercore Ltd., présentée comme société écran d'Aeza Group, qui avait tenté de contourner les sanctions de juillet par un changement de marque.

La saisie du domaine n'établit pas l'arrêt de Virtualine selon TRM Labs

TRM Labs souligne qu'une saisie de domaine gêne la manière dont les clients trouvent et atteignent un service, sans démontrer à elle seule que l'opérateur a cessé son activité ni que les clients ont perdu l'accès à toute l'infrastructure sous-jacente.

Les adresses attribuées à Virtualine restent consultables sur la blockchain. Selon TRM Labs, les transactions ultérieures pourront révéler des retraits vers des plateformes d'échange appliquant la vérification d'identité des clients (« know your customer », KYC), de nouveaux paiements vers les adresses connues de l'hébergeur, des liens avec d'autres hébergeurs bulletproof ou un déplacement des clients vers d'autres prestataires. Aucune nouvelle étape datée, judiciaire ou autre, n'est annoncée dans les éléments publiés par TRM Labs.

Questions fréquentes

Que s'est-il passé avec le domaine de l'hébergeur Virtualine saisi par le FBI ?

Le FBI a saisi le 27 octobre 2026 le domaine virtualine.net, d'après l'analyse publiée par TRM Labs le 28 octobre 2026. Selon cette analyse, le bureau de terrain de Washington du FBI et le parquet fédéral du district est de la Virginie ont annoncé la saisie. Les comptes rendus de l'annonce cités par TRM Labs nomment trois partenaires européens : la Polizei Hessen (Allemagne), la Politie Midden-Nederland (Pays-Bas) et la National Crime Agency (Royaume-Uni). TRM Labs décrit Virtualine comme un hébergeur russophone dit « bulletproof ». La page ne fait état d'aucune arrestation ni poursuite visant son opérateur.

D'où venaient les cryptomonnaies reçues par l'hébergeur Virtualine ?

Selon l'analyse de TRM Labs du 28 octobre 2026, une place de marché russe de drogue représente environ 44 % des flux entrants directs de Virtualine. Un réseau de sextorsion pèse environ 17 % (de février à juin 2026), un mixeur environ 13 % et les groupes de rançongiciels environ 5 %. Virtualine a aussi reçu des paiements du logiciel voleur de données StealC en 2026 et un paiement de Volhav, un autre hébergeur bulletproof. TRM Labs précise que ces paiements attestent de relations financières, sans indiquer quelles attaques ou quels services fonctionnaient sur ses serveurs.

La saisie du domaine virtualine.net met-elle fin à l'activité de Virtualine ?

Pas nécessairement, selon TRM Labs dans son analyse du 28 octobre 2026. La société souligne qu'une saisie de domaine gêne la manière dont les clients trouvent et atteignent un service, sans démontrer à elle seule que l'opérateur a cessé son activité ni que les clients ont perdu l'accès à toute l'infrastructure sous-jacente. Les adresses attribuées à Virtualine restent consultables sur la blockchain. Les transactions ultérieures pourront révéler des retraits vers des plateformes d'échange appliquant le KYC, de nouveaux paiements vers ses adresses connues, des liens avec d'autres hébergeurs bulletproof ou un déplacement des clients.