Una proposta in circolazione oggi sui social media crypto promette accesso gratuito a strumenti di trading premium senza abbonamento. Secondo la società di sicurezza blockchain SlowMist, l'offerta, una presunta versione crackata di TradingView Premium — un software modificato per aggirare la licenza a pagamento — non sblocca in realtà le funzionalità premium. Si tratta invece di un infostealer Windows progettato per raccogliere informazioni sensibili e inviarle agli attaccanti. Gli infostealer sono una classe di malware concepita per sottrarre credenziali salvate, dati di sessione e file da un dispositivo infetto. La società ha condiviso i risultati in un avviso di threat intelligence pubblicato su X il 9 novembre 2026.

TradingView è ampiamente utilizzato dai trader per monitorare Bitcoin, Ethereum, azioni e derivati, e Premium è uno dei livelli di abbonamento a pagamento della piattaforma. Se lo strumento di charting risulta compromesso, potrebbe fornire accesso ad account di exchange, sessioni del browser, wallet e comunicazioni private.

Cosa ha trovato SlowMist nell'installer crackato

SlowMist ha rilevato che la campagna "Cracked TradingView Premium" è stata promossa da metà ottobre dall'account X @cryptotrice, con alcuni post che hanno superato le 300.000 visualizzazioni, dando al bait una notevole portata sulla piattaforma. Il processo di installazione prevede il download di un archivio protetto da password e la generazione di un codice licenza tramite un KeyGen. L'autore ha dichiarato a BleepingComputer che il progetto era open source su GitHub, sebbene SlowMist abbia riscontrato che il link per il download non portava a GitHub. In risposta, l'autore ha affermato di aver impostato il repository come privato, accessibile solo tramite il link di download.

SlowMist ha confermato che il campione Windows raccoglie dati da browser, wallet crypto e Telegram, e li invia utilizzando WinINet, un componente di rete integrato in Windows. Il malware ruota i server di comando e controllo — l'infrastruttura remota che riceve i dati sottratti dalle macchine infette — attraverso Telegram e Steam, utilizzando domani hardcoded per aggirare il filtraggio basato su IP. Il sito di distribuzione, arche-hypnose[.]com, è un sito web compromesso che non mostrava segnali di sospettosità fino alla rivelazione di SlowMist. Il link di download macOS ha restituito un errore 404, quindi non è stato ottenuto alcun campione macOS e l'esistenza di una variante macOS resta non confermata.

🚨 SlowMist TI Alert: Beware of the "Cracked TradingView Premium" Infostealer 🚨 Since mid-October, X account "cryptotrice" has repeatedly promoted a so-called "reverse-engineered cracked #TradingView Premium," with some posts passing 300K views. The software requires… pic.twitter.com/SxJDx3iXwa

— SlowMist (@SlowMist_Team), November 9, 2026, via X

Perché la minaccia va oltre un singolo account

Le vittime immediate sono i trader che hanno installato il software crackato, ma l'impatto può estendersi ulteriormente. Le credenziali del browser sottratte possono esporre account di exchange, email e servizi cloud. I dati Telegram rubati possono consentire impersonificazione e phishing di contatti fidati. I dati dei wallet possono causare la perdita di asset, in particolare se vengono esposte le seed phrase — le frasi di recupero che garantiscono il pieno controllo su un wallet crypto — o le chiavi private.

Per gli exchange e i fornitori di wallet, l'incidente sottolinea che la sicurezza dipende non solo dall'autenticazione a due fattori e dalle allowlist per i prelievi, ma anche dall'igiene degli endpoint. Per i team di sicurezza, l'uso di piattaforme legittime per la rotazione dei server di comando e controllo dimostra perché il solo blocco dei domini è insufficiente.

La campagna rientra inoltre in un pattern più ampio, come riportato da The Street. Infostealer come Lumma, Vidar e Atomic Stealer (AMOS) sono stati ripetutamente distribuiti tramite finti strumenti di trading e software crackati. Malwarebytes aveva documentato in precedenza un bait legato a TradingView su Reddit che distribuisse Lumma su Windows e AMOS su macOS, con vittime che segnalavano wallet svuotati. Hexastrike ha poi pubblicato una variante del 2026 che utilizzava Vidar su Windows e AMOS su Mac.

Cosa dovrebbero fare ora utenti e settore

SlowMist ha invitato chi ha eseguito il software ad agire rapidamente: disconnettersi dalla rete, trasferire gli asset su un dispositivo pulito con un nuovo wallet e una nuova seed phrase, cambiare le password di browser, exchange, email e Telegram, e chiudere qualsiasi sessione Telegram attiva. Se un infostealer viene eseguito, le password e le sessioni vanno considerate compromesse indipendentemente dall'eventuale perdita immediatamente evidente.

Gli utenti dovrebbero scaricare TradingView solo dal sito ufficiale, da Google Play o dall'App Store iOS, e tenersi alla larga dalle versioni crackate, dai KeyGen e dagli archivi protetti da password provenienti da fonti non affidabili. Anche le piattaforme possono fare di più, migliorando la segnalazione delle truffe e avvisando gli utenti sui link pericolosi.

"La campagna del TradingView Premium crackato ha funzionato non perché il malware fosse nuovo, ma perché ha offerto ai trader ciò che desideravano in un linguaggio familiare, facendolo sembrare affidabile. Nelle crypto, dove l'autocustodia ha ripercussioni finanziarie serie, questa è la linea di difesa più importante."