В начале апреля 2025 года исследователь даркнет-площадок под псевдонимом exkgb опубликовал разбор, посвящённый ransomware-форуму Ramp4u.io, который уже ликвидирован. Согласно материалу, основателем площадки является Михаил Матвеев, известный в сети как wazawaka, уроженец Калининграда. По данным автора, именно он вместе с партнёрами запустил форум, который быстро стал ключевой платформой для обмена доступом и вербовки специалистов в сфере вымогательского ПО. В статье утверждается, что после попадания в международный розыск Матвеев передал силовикам 1,5 миллиарда рублей в криптовалюте и 20 миллионов наличными, после чего отошёл от хакерской деятельности. Сам exkgb описывает Матвеева как «одного из самых опасных киберпреступников», который в школьные годы был обычным подростком, но затем «просёк, где крутятся большие деньги, и ушёл в ransomware-бизнес».

По информации exkgb, для создания Ramp4u Матвеев приобрёл движок XenForo за 200 долларов и домен за 5 долларов, после чего вместе с сообщниками поднял платформу. Регистрация на форуме была платной: для входа требовалось перевести 500 долларов на кошелёк, который указывал администратор под ником Stallman. В чате утверждалось, что средства идут на обеспечение безопасности проекта, однако, как отмечает исследователь, никакой реальной защиты организовано не было. Ключевыми фигурами на площадке, помимо wazawaka, названы Kajit и Stallman, причём переход контроля от Матвеева к Stallman остаётся неясным. Форум использовался исключительно для партнёрства с RaaS-группировками, среди которых Qilin (Agenda), LockBit, DragonForce, The Gentlemen и другие, менее известные. Ramp4u был единственной площадкой, где разрешалась открытая работа с ransomware, тогда как на форуме Exploit за подобное блокируют. При этом, как подчёркивает exkgb, на Exploit никто не запрещает скупать доступы и искать пентестеров — то есть конкуренты либо вовсе избегали открытой работы с вымогательским ПО, либо требовали более сложной верификации. Такая специализация позволяла Ramp4u привлекать определённый круг участников, но одновременно делала его более заметным для правоохранителей. После закрытия форума его функции, вероятно, перераспределились между другими площадками или ушли в закрытые каналы связи, что усложняет мониторинг.

С технической точки зрения Ramp4u представлял собой стандартный форум на XenForo с платной темой, что делало его уязвимым для клонирования. Exkgb отмечает, что после ликвидации оригинального ресурса мошенники создали поддельную версию RAMP, чтобы зарабатывать на регистрационных взносах. Фейк выглядит почти идентично оригиналу, а для его создания достаточно поднять движок, установить тему и подключить джейлбрейкнутую языковую модель, которая будет имитировать общение на запрещённые темы с разных аккаунтов. По оценке исследователя, на создание такого клона уходит не более дня, что подчёркивает низкий порог входа для подобных афер. Более того, exkgb прямо говорит, что про форум «вспоминают до сих пор», несмотря на его ликвидацию, — и это иллюстрирует, как быстро утраченные бренды в даркнете становятся инструментом для новых мошеннических схем.

История Матвеева вписывается в более широкий контекст эволюции киберпреступности, где ransomware-группировки всё чаще действуют по модели RaaS, предоставляя готовые инструменты и инфраструктуру. Ramp4u возник как площадка для координации таких группировок, что делало его важным узлом в подпольной экосистеме. Однако после активизации правоохранительных органов по всему миру многие подобные форумы были закрыты или ушли в тень. Случай с wazawaka демонстрирует, как отдельные ключевые фигуры могут пытаться договориться с властями, обменивая финансы на снисхождение. При этом остаётся неясным, насколько такие сделки распространены и как они влияют на общую картину киберугроз. По данным exkgb, Матвеев заработал вместе с компаньонами десятки миллионов долларов, а после появления в списке разыскиваемых ФБР решил действовать на опережение: сам явился в штаб с пакетом из «Магнита», в котором было 20 миллионов наличными, и передал силовикам 1,5 миллиарда рублей в криптовалюте. Эти детали, изложенные в публикации, добавляют истории почти анекдотический оттенок, но одновременно подчёркивают, насколько непрозрачными остаются механизмы взаимодействия фигурантов такого уровня с правоохранительными органами.

Для российского рынка информационной безопасности эта история имеет двоякое значение. С одной стороны, она подтверждает, что российские граждане активно вовлечены в международную киберпреступность, что создаёт репутационные риски и осложняет сотрудничество с зарубежными партнёрами. С другой стороны, переход Матвеева к легальной деятельности в области багхантинга может свидетельствовать о попытках бывших киберпреступников интегрироваться в легальную сферу. Однако эксперты относятся к таким трансформациям с осторожностью, поскольку навыки, полученные в теневом сегменте, не всегда применимы этично. Реакция отрасли на публикацию exkgb пока сдержанная: специалисты отмечают, что подобные материалы важны для понимания методов работы хакерских форумов, но подчёркивают необходимость проверки фактов. Показательно, что сам исследователь придерживается нейтральной позиции и не высказывает мнения о том, кто такой Stallman, обещая возможный «хайповый ответ» в следующей статье, собранной из слухов.

Дальнейшая судьба Михаила Матвеева остаётся предметом догадок. По данным exkgb, в 2025 году у него родился сын, и сейчас он сосредоточен на семейных делах. Последняя активность wazawaka в социальной сети X была связана с просьбой принять его заявку на форум Duty-Free, где он, по словам исследователя, получает информацию для занятия багхантингом. Открытыми остаются вопросы о том, действительно ли передача средств силовикам состоялась и на каких условиях, а также как правоохранительные органы относятся к его прошлому. История показывает, что граница между киберпреступником и специалистом по безопасности может быть тонкой, но доверие к таким людям восстанавливается с трудом. Кроме того, неясно, насколько описанная схема с передачей криптовалюты и наличных является типичной практикой, а не единичным случаем, и как она соотносится с заявленной борьбой с ransomware на международном уровне.