La société de sécurité SlowMist a averti qu'un compte X distribue un malware volant des cryptomonnaies via une fausse version « crackée » de TradingView Premium. Selon la société, ce type d'escroquerie est en cours depuis environ 18 mois et vise à voler les clés privées, les identifiants de navigateur et les sessions de messagerie. Un logiciel « cracké » est une copie non autorisée d'un produit payant dont les contrôles de licence ont été supprimés — un appât qui est réapparu dans plusieurs campagnes de malwares documentées par des chercheurs en sécurité.

Dans un avertissement publié sur son compte X officiel (SlowMist sur X), SlowMist a indiqué qu'un compte utilisant le pseudonyme « cryptotrice » diffuse le faux logiciel « cracké » depuis la mi-octobre. Le paquet contient un infostealer — un malware conçu pour aspirer les identifiants, les données de session et les éléments de portefeuille d'un appareil infecté — capable de vider des portefeuilles crypto et de prendre le contrôle de comptes Telegram.

Un schéma bien connu

TradingView, le site de graphiques que les traders utilisent pour consulter les cours et étudier le marché, met en garde les utilisateurs contre les escroqueries aux « versions crackées » depuis plus d'un an et a précisé qu'il ne vend pas de copies crackées de son logiciel. En 2025, la société a signalé que des escrocs avaient créé de fausses chaînes YouTube se faisant passer pour son compte officiel (blog de TradingView).

Ces chaînes dirigeaient des spectateurs peu méfiants vers une « version développeur » ou une « version crackée » de l'application TradingView. L'option « télécharger » de la prétendue version développeur était en réalité une commande PowerShell qui installait un cheval de Troie d'accès à distance, puis vidait les portefeuilles des victimes. TradingView a déclaré qu'il ne demande jamais aux utilisateurs d'exécuter des scripts en ligne de commande pour installer son logiciel.

Des fausses publicités aux faux outils d'IA

Avant l'avertissement de SlowMist, Bitdefender avait suivi une campagne publicitaire de longue durée faisant la promotion d'un faux « TradingView Premium » (Bitdefender Labs). La campagne avait commencé sur Facebook Ads avant de s'étendre à Google Ads et à YouTube. En 2026, les mêmes groupes avaient abandonné les offres « premium gratuit » pour vendre de faux outils d'IA. L'argumentaire avait changé, mais les fichiers extraits par les chercheurs de ces campagnes livraient toujours des malwares voleurs de données.

Malwarebytes a découvert un site appelé TradingClaw qui se présentait comme un assistant IA pour TradingView (Malwarebytes). L'outil installait en réalité Needle Stealer, un programme voleur de données écrit en langage Go. HP (NYSE : HPQ) a séparément découvert un faux outil de trading crypto par IA sur tradingclaw[.]pro qui dissimulait Needle Stealer dans un programme signé par Microsoft (NASDAQ : MSFT). Cette signature l'aidait à contourner Windows SmartScreen, le contrôle de sécurité intégré de Windows. Les signatures de code sont censées confirmer à l'exploitant du système l'éditeur d'un programme ; un fichier portant une signature valide suscite donc généralement moins d'alertes de sécurité. Une fois dans le système, le malware remplaçait l'extension de portefeuille du navigateur de la victime par une copie malveillante.

Needle Stealer collecte l'historique de navigation, les cookies et les identifiants enregistrés, et extrait des données d'applications telles que Telegram. Il s'attaque aux portefeuilles de bureau comme Ledger, Trezor et Exodus, ainsi qu'aux portefeuilles de navigateur comme MetaMask et Coinbase Wallet (Coinbase, NASDAQ : COIN), dans le but de voler les phrases seed — les séquences de mots de récupération capables de recréer un portefeuille sur un autre appareil et d'en donner le contrôle total des fonds à quiconque les détient. L'échantillon analysé par HP recherchait sept extensions de portefeuille de navigateur, dont Phantom, et capturait tout mot de passe saisi par la victime dans un faux écran de déverrouillage.

Des infections par infostealers en hausse

Cryptopolitan a précédemment rapporté l'existence de Reaper, un programme voleur de données sur Mac dissimulé derrière de fausses pages de téléchargement d'applications, qui s'attaquait à Ledger Live, Trezor Suite et Exodus une fois activé (Cryptopolitan).

Flashpoint a rapporté que 7,4 millions d'appareils ont été infectés par des infostealers au premier semestre 2026, soit 27 % de plus que lors des six mois précédents, et que 1,7 milliard d'identifiants ont été volés. Comme les infostealers aspirent tout ce qu'un navigateur a enregistré, ce vol d'identifiants touche au-delà des comptes crypto n'importe quel identifiant stocké par la victime. Flashpoint a classé Vidar devant StealC et Lumma comme variantes de malware les plus répandues. Lumma dominait jusqu'au démantèlement opéré par les forces de l'ordre en mai 2025, qui a saisi environ 2 300 domaines de commande et contrôle. Flashpoint a également souligné que Telegram est devenu un canal de diffusion pour ce type d'outil — la même application que Needle Stealer est conçu pour piller. La plateforme se retrouve ainsi des deux côtés de la menace : canal de diffusion pour les voleurs de données et butin qu'ils récoltent une fois à l'intérieur.