Una afirmación que circula hoy en las redes sociales cripto promete acceso gratuito a herramientas de trading premium sin suscripción. Según la firma de seguridad blockchain SlowMist, la oferta, una llamada versión crackeada de TradingView Premium — software modificado para eludir su licencia de pago — en realidad no desbloquea funciones premium. En cambio, es un infostealer para Windows diseñado para recopilar información sensible y enviarla a los atacantes. Los infostealers son una clase de malware creada para extraer credenciales guardadas, datos de sesión y archivos de un dispositivo infectado. La firma compartió sus hallazgos en una alerta de inteligencia de amenazas publicada en X el 9 de noviembre de 2026.

TradingView es ampliamente utilizado por traders para monitorear Bitcoin, Ethereum, acciones y derivados, y Premium es uno de los niveles de suscripción de pago de la plataforma. Si la herramienta de gráficos se ve comprometida, podría dar acceso a cuentas de exchanges, sesiones de navegador, billeteras y comunicaciones privadas.

Lo que SlowMist encontró en el instalador crackeado

SlowMist señaló que la campaña "Cracked TradingView Premium" ha sido promovida desde mediados de octubre por la cuenta de X @cryptotrice, con algunas publicaciones que superan las 300,000 vistas, lo que le dio al señuelo un alcance considerable en la plataforma. El proceso de instalación implica descargar un archivo protegido con contraseña y generar un código de licencia mediante un KeyGen. El autor le dijo a BleepingComputer que el proyecto era de código abierto en GitHub, aunque SlowMist descubrió que el enlace de descarga no llevaba a GitHub. En respuesta, el autor dijo que el repositorio se había configurado como privado y solo era accesible a través del enlace de descarga.

SlowMist confirmó que la muestra de Windows recopila datos de navegadores, billeteras cripto y Telegram, y los envía utilizando WinINet, un componente de red integrado en Windows. El malware rota servidores de comando y control — la infraestructura remota que recibe los datos robados de las máquinas infectadas — a través de Telegram y Steam, utilizando dominios codificados para evitar el filtrado por IP. El sitio de distribución, arche-hypnose[.]com, es un sitio web comprometido que no mostraba señales de sospecha hasta que SlowMist lo reveló. El enlace de descarga para macOS devolvió un error 404, por lo que no se obtuvo ninguna muestra de macOS, y si existe una variante para macOS sigue sin confirmarse.

🚨 SlowMist TI Alert: Beware of the "Cracked TradingView Premium" Infostealer 🚨 Since mid-October, X account "cryptotrice" has repeatedly promoted a so-called "reverse-engineered cracked #TradingView Premium," with some posts passing 300K views. The software requires… pic.twitter.com/SxJDx3iXwa

— SlowMist (@SlowMist_Team), November 9, 2026, via X

Por qué la amenaza va más allá de una sola cuenta

Las víctimas inmediatas son los traders que instalaron el software crackeado, pero el impacto puede llegar más lejos. Las credenciales de navegador robadas pueden exponer cuentas de exchanges, correo electrónico y servicios en la nube. Los datos de Telegram robados pueden permitir la suplantación de identidad y el phishing de contactos de confianza. Los datos de billeteras pueden provocar la pérdida de activos, especialmente si se exponen las frases semilla — las frases de recuperación que otorgan control total sobre una billetera cripto — o las claves privadas.

Para los exchanges y proveedores de billeteras, el incidente subraya que la seguridad depende no solo de la autenticación de dos factores y las listas permitidas de retiros, sino también de la higiene de los puntos finales. Para los equipos de seguridad, el uso de plataformas legítimas para la rotación de comando y control muestra por qué el bloqueo de dominios por sí solo es insuficiente.

La campaña también encaja en un patrón más amplio, según informó The Street. Los infostealers como Lumma, Vidar y Atomic Stealer (AMOS) han sido distribuidos repetidamente a través de falsas herramientas de trading y software crackeado. Malwarebytes documentó anteriormente un señuelo relacionado con TradingView en Reddit que distribuía Lumma en Windows y AMOS en macOS, con víctimas que reportaron billeteras vaciadas. Hexastrike publicó posteriormente una variante de 2026 que usaba Vidar en Windows y AMOS en Mac.

Qué deberían hacer a continuación los usuarios y la industria

SlowMist advirtió a las personas que habían ejecutado el software que actuaran con rapidez: desconectarse de la red, transferir los activos a un dispositivo limpio con una billetera y frase semilla nuevas, cambiar las contraseñas de navegadores, exchanges, correo electrónico y Telegram, y cerrar cualquier sesión activa de Telegram. Si un infostealer se ejecuta, las contraseñas y sesiones deben considerarse comprometidas independientemente de si alguna pérdida es evidente de inmediato.

Los usuarios deben descargar TradingView solo desde el sitio web oficial, Google Play o la App Store de iOS, y mantenerse alejados de versiones crackeadas, KeyGens y archivos protegidos con contraseña de fuentes no confiables. Las plataformas también pueden hacer más mejorando los reportes de estafas y advirtiendo a los usuarios sobre enlaces peligrosos.

"La campaña de Cracked TradingView premium fracasó porque el malware era nuevo. Tuvo éxito porque les dio a los traders lo que querían en un lenguaje familiar para que pareciera confiable. En cripto, donde la autocustodia tiene serias repercusiones financieras, esta es la línea de defensa más crítica."