Une affirmation circule aujourd'hui sur les réseaux sociaux crypto : un accès gratuit aux outils de trading premium sans abonnement. Selon la société de sécurité blockchain SlowMist, cette offre — une prétendue version crackée de TradingView Premium, un logiciel modifié pour contourner sa licence payante — ne débloque en réalité aucune fonctionnalité premium. Il s'agit en réalité d'un infostealer Windows conçu pour collecter des informations sensibles et les envoyer aux attaquants. Les infostealers sont une catégorie de malware conçue pour récupérer les identifiants enregistrés, les données de session et les fichiers d'un appareil infecté. La firme a partagé ses conclusions dans une alerte de renseignement sur les menaces publiée sur X le 9 novembre 2026.

TradingView est largement utilisé par les traders pour suivre le Bitcoin, l'Ethereum, les actions et les produits dérivés, et Premium est l'un des niveaux d'abonnement payants de la plateforme. Si l'outil de charting est compromis, il pourrait donner accès à des comptes d'échange, des sessions de navigateur, des portefeuilles et des communications privées.

Ce que SlowMist a découvert dans l'installateur cracké

SlowMist a noté que la campagne « Cracked TradingView Premium » est promue depuis la mi-octobre par le compte X @cryptotrice, avec certaines publications recevant plus de 300 000 vues, donnant à l'appât une portée considérable sur la plateforme. Le processus d'installation implique le téléchargement d'une archive protégée par mot de passe et la génération d'un code de licence via un KeyGen. L'auteur a déclaré à BleepingComputer que le projet était open source sur GitHub, bien que SlowMist ait constaté que le lien de téléchargement ne menait pas vers GitHub. En réponse, l'auteur a indiqué que le dépôt avait été rendu privé et n'était accessible que via le lien de téléchargement.

SlowMist a confirmé que l'échantillon Windows collecte des données depuis les navigateurs, les portefeuilles crypto et Telegram, et les envoie à l'aide de WinINet, un composant réseau intégré à Windows. Le malware fait tourner ses serveurs de commandement et contrôle — l'infrastructure distante qui reçoit les données volées des machines infectées — via Telegram et Steam, en utilisant des domaines codés en dur pour contourner le filtrage par IP. Le site de distribution, arche-hypnose[.]com, est un site web compromis qui ne présentait aucun signe suspect jusqu'à sa révélation par SlowMist. Le lien de téléchargement macOS a renvoyé une erreur 404, de sorte qu'aucun échantillon macOS n'a été obtenu, et l'existence d'une variante macOS reste non confirmée.

🚨 SlowMist TI Alert: Beware of the "Cracked TradingView Premium" Infostealer 🚨 Since mid-October, X account "cryptotrice" has repeatedly promoted a so-called "reverse-engineered cracked #TradingView Premium," with some posts passing 300K views. The software requires… pic.twitter.com/SxJDx3iXwa

— SlowMist (@SlowMist_Team), November 9, 2026, via X

Pourquoi la menace s'étend au-delà d'un seul compte

Les victimes immédiates sont les traders qui ont installé le logiciel cracké, mais l'impact peut s'étendre davantage. Les identifiants de navigateur volés peuvent exposer des comptes d'échange, des e-mails et des services cloud. Les données Telegram volées peuvent permettre l'usurpation d'identité et le phishing de contacts de confiance. Les données de portefeuille peuvent entraîner une perte d'actifs, en particulier si les phrases de récupération — les phrases qui accordent le contrôle total d'un portefeuille crypto — ou des clés privées sont exposées.

Pour les plateformes d'échange et les fournisseurs de portefeuilles, l'incident souligne que la sécurité dépend non seulement de l'authentification à deux facteurs et des listes blanches de retrait, mais aussi de l'hygiène des points de terminaison. Pour les équipes de sécurité, l'utilisation de plateformes légitimes pour la rotation des serveurs de commandement et contrôle montre pourquoi le blocage de domaines seul est insuffisant.

La campagne s'inscrit également dans un schéma plus large, comme le rapporte The Street. Des infostealers tels que Lumma, Vidar et Atomic Stealer (AMOS) ont été distribués à plusieurs reprises via de faux outils de trading et des logiciels crackés. Malwarebytes avait précédemment documenté un appât lié à TradingView sur Reddit distribuant Lumma sur Windows et AMOS sur macOS, des victimes signalant des portefeuilles vidés. Hexastrike a ensuite publié une variante 2026 utilisant Vidar sur Windows et AMOS sur Mac.

Ce que les utilisateurs et l'industrie devraient faire ensuite

SlowMist a conseillé aux personnes ayant exécuté le logiciel d'agir rapidement : se déconnecter du réseau, transférer les actifs vers un appareil propre avec un nouveau portefeuille et une nouvelle phrase de récupération, changer les mots de passe des navigateurs, des plateformes d'échange, des e-mails et de Telegram, et fermer toute session Telegram active. Si un infostealer s'exécute, les mots de passe et les sessions doivent être considérés comme compromis, qu'une perte soit immédiatement apparente ou non.

Les utilisateurs doivent télécharger TradingView uniquement depuis le site officiel, Google Play ou l'App Store iOS, et éviter les versions crackées, les KeyGens et les archives protégées par mot de passe provenant de sources non fiables. Les plateformes peuvent également faire davantage en améliorant le signalement des arnaques et en avertissant les utilisateurs des liens dangereux.

"The cracked TradingView premium campaign failed because the malware was new. It succeeded because it provided traders with what they wanted in a familiar language to make it seem trustworthy. In crypto, where self-custody has serious financial repercussions, this is the most critical line of defense."