Das Sicherheitsunternehmen SlowMist hat gewarnt, dass ein X-Konto über eine gefälschte „gecrackte“ Version von TradingView Premium Schadsoftware verbreitet, die Kryptowährungen stiehlt. Laut dem Unternehmen läuft diese Art von Betrug seit etwa 18 Monaten und zielt darauf ab, private Schlüssel, Browser-Logins und Messaging-Sitzungen zu stehlen. „Gecrackte“ Software ist eine unbefugte Kopie eines kostenpflichtigen Produkts, aus dem die Lizenzprüfungen entfernt wurden – ein Köder, der in mehreren von Sicherheitsforschern dokumentierten Schadsoftware-Kampagnen immer wieder auftauchte.

In einer Warnung auf seinem offiziellen X-Konto (SlowMist auf X) teilte SlowMist mit, dass ein Konto mit dem Handle „cryptotrice“ die gefälschte „gecrackte“ Software seit Mitte Oktober verbreitet. Das Paket enthält einen Infostealer – Schadsoftware, die darauf ausgelegt ist, Zugangsdaten, Sitzungsdaten und Wallet-Material von einem infizierten Gerät zu sammeln –, der Krypto-Wallets leeren und Telegram-Konten übernehmen kann.

Ein bekanntes Muster

TradingView, die Charting-Website, die Trader zum Anzeigen von Charts und zum Analysieren des Marktes nutzen, hat seine Nutzer seit über einem Jahr vor „Cracked-Version“-Betrug gewarnt und klargestellt, dass es keine gecrackten Kopien seiner Software verkauft. Im Jahr 2025 berichtete das Unternehmen, dass Betrüger gefälschte YouTube-Kanäle eingerichtet hatten, die sich als sein offizielles Konto ausgaben (TradingView-Blog).

Diese Kanäle lenkten ahnungslose Zuschauer zu einer „Developer-Version“ oder „gecrackten Version“ der TradingView-App. Die „Download“-Option der sogenannten Developer-Version war tatsächlich ein PowerShell-Befehl, der einen Remote-Access-Trojaner installierte und anschließend die Wallets der Opfer leerte. TradingView hat erklärt, dass es Nutzer niemals auffordert, Kommandozeilen-Skripte zur Installation seiner Software auszuführen.

Von gefälschter Werbung zu gefälschten KI-Tools

Vor SlowMists Warnung verfolgte Bitdefender eine lang laufende Werbekampagne, die ein gefälschtes „TradingView Premium“ bewarb (Bitdefender Labs). Die Kampagne begann auf Facebook Ads und breitete sich später auf Google Ads und YouTube aus. Bis 2026 hatten dieselben Gruppen die „Free-Premium“-Angebote aufgegeben und verkauften stattdessen gefälschte KI-Tools. Der Aufhänger änderte sich, doch die Dateien, die Forscher aus diesen Kampagnen zogen, enthielten weiterhin datenstehlende Schadsoftware.

Malwarebytes deckte eine Website namens TradingClaw auf, die sich als KI-Helfer für TradingView ausgab (Malwarebytes). Das Tool installierte in Wirklichkeit Needle Stealer, ein datenstehlendes Programm, das in der Programmiersprache Go geschrieben ist. HP (NYSE: HPQ) fand separat ein gefälschtes KI-Krypto-Handelstool auf tradingclaw[.]pro, das Needle Stealer in einem von Microsoft (NASDAQ: MSFT) signierten Programm versteckte. Die Signatur half ihm, am Windows SmartScreen – der integrierten Windows-Sicherheitsprüfung – vorbeizukommen. Codesignaturen sollen dem Betriebssystem den Herausgeber eines Programms bestätigen, sodass eine Datei mit gültiger Signatur typischerweise weniger Sicherheitswarnungen auslöst. Sobald die Schadsoftware im System war, ersetzte sie die Browser-Wallet-Erweiterung des Opfers durch eine schädliche Kopie.

Needle Stealer sammelt Browserverlauf, Cookies und gespeicherte Logins und zieht Daten aus Anwendungen wie Telegram. Es zielt auf Desktop-Wallets wie Ledger, Trezor und Exodus sowie auf Browser-Wallets wie MetaMask und Coinbase Wallet (Coinbase, NASDAQ: COIN) ab, um Seed-Phrasen zu stehlen – die Wiederherstellungs-Wortfolgen, mit denen sich eine Wallet auf einem anderen Gerät rekonstruieren lässt und die ihrem Inhaber die volle Kontrolle über das Vermögen geben. Die von HP analysierte Probe suchte nach sieben Browser-Wallet-Erweiterungen, darunter Phantom, und erfasste jedes Passwort, das das Opfer in einen gefälschten Entsperrbildschirm eingab.

Infostealer-Infektionen steigen

Cryptopolitan hat zuvor über Reaper berichtet, ein datenstehelndes Mac-Programm, das sich hinter gefälschten App-Download-Seiten verbarg und nach seiner Aktivierung Ledger Live, Trezor Suite und Exodus ins Visier nahm (Cryptopolitan).

Flashpoint berichtete, dass im ersten Halbjahr 2026 7,4 Millionen Geräte mit Infostealern infiziert wurden – 27 % mehr als in den vorangegangen sechs Monaten – und dass 1,7 Milliarden Zugangsdaten gestohlen wurden. Da Infostealer alles erfassen, was ein Browser gespeichert hat, geht dieser Datendiebstahl über Krypto-Konten hinaus zu jedem Login, den ein Opfer gespeichert hatte. Flashpoint stufte Vidar vor StealC und Lumma als die häufigsten Schadsoftware-Varianten ein. Lumma hatte bis zu einer Strafverfolgungsmaßnahme im Mai 2025 geführt, bei der etwa 2.300 Command-and-Control-Domains beschlagnahmt wurden. Flashpoint stellte außerdem fest, dass Telegram zu einem Kanal für die Verbreitung dieser Art von Tool geworden ist – dieselbe App, die Needle Stealer zum Ziel nimmt. Die Plattform ist nun auf beiden Seiten der Bedrohung: ein Verbreitungskanal für Stealer und eine Beute, die sie nach dem Eindringen ernten.