La firma de seguridad SlowMist ha advertido que una cuenta de X está distribuyendo malware que roba criptomonedas a través de una versión "crackeada" falsa de TradingView Premium. Según la firma, este tipo de estafa lleva circulando unos 18 meses y está diseñada para robar claves privadas, inicios de sesión de navegador y sesiones de mensajería. Un software "crackeado" es una copia no autorizada de un producto de pago a la que se le han eliminado las verificaciones de licencia — un señuelo que ha reaparecido en múltiples campañas de malware documentadas por investigadores de seguridad.

En una advertencia publicada en su cuenta oficial de X (SlowMist en X), SlowMist indicó que una cuenta con el seudónimo "cryptotrice" ha estado difundiendo el software "crackeado" falso desde mediados de octubre. El paquete contiene un infostealer — malware diseñado para recopilar credenciales, datos de sesión y material de billeteras de un dispositivo infectado — que puede vaciar billeteras cripto y tomar el control de cuentas de Telegram.

Una jugada conocida

TradingView, el sitio web de gráficos que los traders usan para ver gráficos y estudiar el mercado, ha advertido a los usuarios sobre estafas de "versiones crackeadas" durante más de un año y ha aclarado que no vende copias crackeadas de su software. En 2025, la empresa informó que estafadores habían creado canales falsos de YouTube haciéndose pasar por su cuenta oficial (blog de TradingView).

Los canales dirigían a espectadores desprevenidos hacia una "versión de desarrollador" o "versión crackeada" de la aplicación de TradingView. La opción de "descarga" de la llamada versión de desarrollador era en realidad un comando de PowerShell que instalaba un troyano de acceso remoto y luego vaciaba las billeteras de las víctimas. TradingView ha declarado que nunca pide a los usuarios ejecutar scripts de línea de comandos para instalar su software.

De anuncios falsos a herramientas de IA falsas

Antes de la advertencia de SlowMist, Bitdefender rastreó una campaña publicitaria de larga duración que promocionaba un falso "TradingView Premium" (Bitdefender Labs). La campaña comenzó en Facebook Ads y luego se extendió a Google Ads y YouTube. Para 2026, los mismos grupos habían abandonado las ofertas de "premium gratis" y en su lugar vendían herramientas de IA falsas. Cambió el discurso, pero los archivos que los investigadores extrajeron de estas campañas seguían distribuyendo malware de robo de datos.

Malwarebytes descubrió un sitio llamado TradingClaw que decía ser un asistente de IA para TradingView (Malwarebytes). La herramienta en realidad instalaba Needle Stealer, un programa de robo de datos escrito en el lenguaje de programación Go. HP (NYSE: HPQ) encontró por separado una herramienta falsa de trading cripto con IA en tradingclaw[.]pro que ocultaba Needle Stealer dentro de un programa firmado por Microsoft (NASDAQ: MSFT). La firma ayudó a eludir Windows SmartScreen, la verificación de seguridad integrada de Windows. Las firmas de código están destinadas a confirmar ante el sistema operativo el editor de un programa, por lo que un archivo con una firma válida suele generar menos advertencias de seguridad. Una vez dentro del sistema, el malware reemplazaba la extensión de billetera del navegador de la víctima con una copia maliciosa.

Needle Stealer recopila el historial del navegador, cookies e inicios de sesión guardados, y extrae datos de aplicaciones como Telegram. Ataca billeteras de escritorio como Ledger, Trezor y Exodus, y billeteras de navegador como MetaMask y Coinbase Wallet (Coinbase, NASDAQ: COIN), en un intento de robar frases semilla — las secuencias de palabras de recuperación que pueden recrear una billetera en otro dispositivo y otorgar a quien las posea control total sobre sus fondos. La muestra que HP analizó buscaba siete extensiones de billeteras de navegador, incluida Phantom, y capturaba cualquier contraseña que la víctima escribiera en una pantalla de desbloqueo falsa.

Aumentan las infecciones de infostealers

Cryptopolitan ha reportado previamente sobre Reaper, un programa de robo de datos para Mac oculto detrás de páginas falsas de descarga de aplicaciones que atacaba Ledger Live, Trezor Suite y Exodus una vez activado (Cryptopolitan).

Flashpoint reportó que 7,4 millones de dispositivos fueron infectados con infostealers en el primer semestre de 2026, un 27% más que en los seis meses anteriores, y que se han robado 1.700 millones de credenciales. Dado que los infostealers recopilan todo lo que el navegador haya guardado, ese robo de credenciales alcanza más allá de las cuentas cripto a cualquier inicio de sesión que la víctima haya almacenado. Flashpoint ubicó a Vidar por delante de StealC y Lumma como las variantes de malware más comunes. Lumma había estado a la cabeza hasta que una operación policial en mayo de 2025 incautó alrededor de 2.300 dominios de comando y control. Flashpoint también señaló que Telegram se ha convertido en un canal para difundir este tipo de herramientas — la misma aplicación que Needle Stealer está diseñado para saquear. La plataforma ahora está en ambos lados de la amenaza: un canal de distribución para los stealers y un botín que recolectan una vez dentro.