In den sozialen Medien der Krypto-Branche kursiert derzeit die Behauptung, ohne Abo kostenlosen Zugang zu Premium-Trading-Tools zu erhalten. Laut dem Blockchain-Sicherheitsunternehmen SlowMist hält das Angebot – eine sogenannte gecrackte Version von TradingView Premium, also eine Software, die zur Umgehung der kostenpflichtigen Lizenzierung modifiziert wurde – die Premium-Funktionen tatsächlich nicht frei. Stattdessen handelt es sich um einen Windows-Infostealer, der darauf ausgelegt ist, sensible Informationen zu sammeln und an Angreifer zu übermitteln. Infostealer sind eine Schadsoftware-Klasse, die darauf ausgelegt ist, gespeicherte Zugangsdaten, Sitzungsdaten und Dateien von einem infizierten Gerät abzugreifen. Das Unternehmen teilte seine Erkenntnisse in einer Threat-Intelligence-Warnung mit, die am 9. November 2026 auf X veröffentlicht wurde.

TradingView wird von Tradern häufig genutzt, um Bitcoin, Ethereum, Aktien und Derivate zu beobachten; Premium ist eine der bezahlten Abo-Stufen der Plattform. Wird das Charting-Tool kompromittiert, könnte dies den Zugriff auf Börsenkonten, Browser-Sitzungen, Wallets und private Kommunikationen ermöglichen.

Was SlowMist im gecrackten Installationsprogramm fand

SlowMist stellte fest, dass die Kampagne "Cracked TradingView Premium" seit Mitte Oktober vom X-Konto @cryptotrice beworben wird, wobei einige Posts mehr als 300.000 Aufrufe erhielten – was dem Köder erhebliche Reichweite auf der Plattform verschaffte. Der Installationsprozess umfasst das Herunterladen eines passwortgeschützten Archivs und die Erzeugung eines Lizenzcodes über einen KeyGen. Der Autor teilte BleepingComputer mit, das Projekt sei auf GitHub open source gewesen, obwohl SlowMist feststellte, dass der Download-Link nicht zu GitHub führte. Daraufhin erklärte der Autor, das Repository sei auf privat gesetzt worden und nur über den Download-Link zugänglich.

SlowMist bestätigte, dass die Windows-Stichprobe Daten aus Browsern, Krypto-Wallets und Telegram sammelt und über WinINet, eine eingebaute Windows-Netzwerkkomponente, nach außen sendet. Die Schadsoftware rotiert Command-and-Control-Server – die entfernte Infrastruktur, die gestohlene Daten von infizierten Maschinen empfängt – über Telegram und Steam und nutzt fest einprogrammierte Domains, um IP-Filterung zu vermeiden. Die Auslieferungsseite, arche-hypnose[.]com, ist eine kompromittierte Website, die bis zur Offenlegung durch SlowMist keine verdächtigen Merkmale zeigte. Der macOS-Download-Link führte zu einem 404-Fehler, sodass keine macOS-Stichprobe beschafft werden konnte und die Existenz einer macOS-Variante unbestätigt bleibt.

🚨 SlowMist TI Alert: Beware of the "Cracked TradingView Premium" Infostealer 🚨 Since mid-October, X account "cryptotrice" has repeatedly promoted a so-called "reverse-engineered cracked #TradingView Premium," with some posts passing 300K views. The software requires… pic.twitter.com/SxJDx3iXwa

— SlowMist (@SlowMist_Team), 9. November 2026, via X

Warum die Bedrohung über ein Konto hinausgeht

Die unmittelbaren Opfer sind Trader, die die gecrackte Software installiert haben, doch die Auswirkungen können weiter reichen. Gestohlene Browser-Zugangsdaten können Börsenkonten, E-Mail und Cloud-Dienste offenlegen. Gestohlene Telegram-Daten können Identitätsdiebstahl und Phishing gegenüber vertrauten Kontakten ermöglichen. Wallet-Daten können zu Vermögensverlusten führen, insbesondere wenn Seed-Phrasen – die Wiederherstellungsphrasen, die die volle Kontrolle über eine Krypto-Wallet gewähren – oder private Schlüssel offengelegt werden.

Für Börsen und Wallet-Anbieter unterstreicht der Vorfall, dass Sicherheit nicht nur von Zwei-Faktor-Authentifizierung und Withdrawal-Allowlists abhängt, sondern auch von der Endpoint-Hygiene. Für Sicherheitsteams zeigt die Nutzung legitimer Plattformen zur Rotation von Command-and-Control-Servern, warum das Blockieren von Domains allein nicht ausreicht.

Die Kampagne fügt sich zudem in ein breiteres Muster ein, wie The Street berichtete. Infostealer wie Lumma, Vidar und Atomic Stealer (AMOS) wurden wiederholt über gefälschte Trading-Tools und gecrackte Software verbreitet. Malwarebytes dokumentierte zuvor einen TradingView-bezogenen Köder auf Reddit, der Lumma auf Windows und AMOS auf macOS verbreitete, wobei Opfer von geleerten Wallets berichteten. Hexastrike veröffentlichte später eine Variante aus dem Jahr 2026 mit Vidar auf Windows und AMOS auf Mac.

Was Nutzer und die Branche als Nächstes tun sollten

SlowMist warnte Personen, die die Software ausgeführt haben, schnell zu handeln: die Netzwerkverbindung trennen, Vermögenswerte auf ein sauberes Gerät mit einer neuen Wallet und Seed-Phrase übertragen, Passwörter für Browser, Börsen, E-Mail und Telegram ändern und alle aktiven Telegram-Sitzungen beenden. Wenn ein Infostealer ausgeführt wird, sind Passwörter und Sitzungen als kompromittiert zu betrachten, unabhängig davon, ob ein Verlust unmittelbar erkennbar ist.

Nutzer sollten TradingView ausschließlich über die offizielle Website, Google Play oder den iOS App Store herunterladen und sich von gecrackten Versionen, KeyGens und passwortgeschützten Archiven aus nicht vertrauenswürdigen Quellen fernhalten. Plattformen können zudem mehr tun, indem sie Scam-Meldungen verbessern und Nutzer vor gefährlichen Links warnen.

"Die Kampagne mit dem gecrackten TradingView Premium scheiterte fast, weil die Schadsoftware neu war. Sie war erfolgreich, weil sie den Tradern das bot, was sie wollten, und zwar in einer vertrauten Sprache, um vertrauenswürdig zu erscheinen. Im Krypto-Bereich, wo Selbstverwahrung schwerwiegende finanzielle Folgen haben kann, ist dies die wichtigste Verteidigungslinie."