La società di sicurezza SlowMist ha avvisato che un account X sta distribuendo malware che ruba criptovalute tramite una versione “crackata” fasulla di TradingView Premium. Secondo la società, questo tipo di truffa è in corso da circa 18 mesi ed è progettata per rubare chiavi private, credenziali del browser e sessioni di messaggistica. Il software “crackato” è una copia non autorizzata di un prodotto a pagamento priva dei controlli di licenza — un’esca ricorrente in più campagne malware documentate dai ricercatori di sicurezza.

In un avviso pubblicato sul suo account X ufficiale (SlowMist on X), SlowMist ha dichiarato che un account con l’handle “cryptotrice” sta diffondendo il software fasullo “crackato” da metà ottobre. Il pacchetto contiene un infostealer — un malware progettato per raccogliere credenziali, dati di sessione e materiale dei wallet da un dispositivo infetto — in grado di svuotare i wallet crypto e prendere il controllo degli account Telegram.

Un copione già visto

TradingView, il sito di grafici utilizzato dai trader per analizzare il mercato, mette in guardia gli utenti dalle truffe delle “versioni crackate” da più di un anno e ha chiarito che non vende copie crackate del suo software. Nel 2025, la società ha segnalato che truffatori avevano creato falsi canali YouTube spacciandosi per il suo account ufficiale (TradingView blog).

I canali indirizzavano gli spettatori inconsapevoli verso una “versione developer” o una “versione crackata” dell’app TradingView. L’opzione “download” della cosiddetta versione developer era in realtà un comando PowerShell che installava un trojan ad accesso remoto e poi svuotava i wallet delle vittime. TradingView ha dichiarato di non chiedere mai agli utenti di eseguire script da riga di comando per installare il suo software.

Dalle false pubblicità ai finti strumenti AI

Prima dell’avviso di SlowMist, Bitdefender aveva monitorato una campagna pubblicitaria di lunga durata che promuoveva un falso “TradingView Premium” (Bitdefender Labs). La campagna era iniziata su Facebook Ads per poi diffondersi su Google Ads e YouTube. Entro il 2026, gli stessi gruppi avevano abbandonato le offerte di “premium gratuito” per vendere invece falsi strumenti AI. Il messaggio era cambiato, ma i file estratti dai ricercatori da queste campagne continuavano a distribuire malware per il furto di dati.

Malwarebytes ha scoperto un sito chiamato TradingClaw che si presentava come un assistente AI per TradingView (Malwarebytes). Lo strumento installava in realtà Needle Stealer, un programma per il furto di dati scritto nel linguaggio di programmazione Go. HP (NYSE: HPQ) ha inoltre trovato separatamente un falso strumento di trading AI per crypto su tradingclaw[.]pro che nascondeva Needle Stealer all’interno di un programma firmato da Microsoft (NASDAQ: MSFT). La firma l’ha aiutato a eludere Windows SmartScreen, il controllo di sicurezza integrato in Windows. Le firme digitali servono a confermare al sistema operativo l’editore di un programma, quindi un file con una firma valida genera in genere meno avvisi di sicurezza. Una volta all’interno del sistema, il malware sostituiva l’estensione wallet del browser della vittima con una copia dannosa.

Needle Stealer raccoglie la cronologia del browser, i cookie e le credenziali salvate, ed estrae dati da applicazioni come Telegram. Prende di mira wallet desktop come Ledger, Trezor ed Exodus, e wallet browser come MetaMask e Coinbase Wallet (Coinbase, NASDAQ: COIN), nel tentativo di rubare le seed phrase — le sequenze di parole di recupero che possono ricreare un wallet su un altro dispositivo e dare a chi le possiede il pieno controllo dei suoi fondi. Il campione analizzato da HP cercava sette estensioni wallet per browser, tra cui Phantom, e catturava qualsiasi password digitata dalla vittima in un falso schermo di sblocco.

Infezioni da infostealer in aumento

Cryptopolitan ha già riportato notizie su Reaper, un programma per Mac che ruba dati, nascosto dietro false pagine di download di app, che una volta attivo prendeva di mira Ledger Live, Trezor Suite ed Exodus (Cryptopolitan).

Flashpoint ha riportato che 7,4 milioni di dispositivi sono stati infettati da infostealer nella prima metà del 2026, il 27% in più rispetto ai sei mesi precedenti, e che sono state rubate 1,7 miliardi di credenziali. Poiché gli infostealer raccolgono tutto ciò che il browser ha salvato, il furto di credenziali va oltre gli account crypto fino a qualsiasi credenziale memorizzata dalla vittima. Flashpoint ha classificato Vidar come la variante malware più comune, davanti a StealC e Lumma. Lumma era in testa fino a un’operazione delle forze dell’ordine di maggio 2025 che ha sequestrato circa 2.300 domini di comando e controllo. Flashpoint ha inoltre osservato che Telegram è diventato un canale per la diffusione di questo tipo di strumenti — la stessa app che Needle Stealer è costruito per depredare. La piattaforma ora si trova da entrambi i lati della minaccia: canale di distribuzione per gli stealer e bottino che raccolgono una volta dentro.