本日、暗号資産系ソーシャルメディアで「サブスクリプション不要でプレミアム取引ツールに無料アクセスできる」という主張が拡散している。ブロックチェーンセキュリティ企業SlowMistによると、このオファー、いわゆるCracked版TradingView Premium(有料ライセンスを回避するように改変されたソフトウェア)は、実際にはプレミアム機能を解放しない。代わりに、機密情報を収集して攻撃者に送信するよう設計されたWindows向けインフォスティーラーである。インフォスティーラーとは、感染デバイスから保存された認証情報、セッションデータ、ファイルを収集するように作られたマルウェアの一種である。同社は2026年11月9日にXに投稿した脅威インテリジェンス警告でこの調査結果を公表した。

TradingViewはトレーダーがBitcoin、Ethereum、株式、デリバティブを監視するために広く利用されており、Premiumは同プラットフォームの有料サブスクリプションプランの1つである。このチャーティングツールが侵害されれば、取引所アカウント、ブラウザセッション、ウォレット、個人的な通信へのアクセスを提供しかねない。

SlowMistがCrackedインストーラーで発見したこと

SlowMistによると、「Cracked TradingView Premium」キャンペーンは10月中旬以降、Xアカウント@cryptotriceによって宣伝されており、一部の投稿は30万回を超える閲覧数に達し、このおとりはプラットフォーム上で大きなリーチを獲得している。インストールプロセスでは、パスワード保護されたアーカイブをダウンロードし、KeyGenを通じてライセンスコードを生成する。作者はBleepingComputerに対し、プロジェクトはGitHubでオープンソースだったと述べたが、SlowMistが確認したところ、ダウンロードリンクはGitHubに繋がっていなかった。これに対し作者は、リポジトリを非公開に設定し、ダウンロードリンク経由でのみアクセス可能にしたと説明した。

SlowMistが確認したところ、Windowsサンプルはブラウザ、暗号資産ウォレット、Telegramからデータを収集し、Windowsに組み込まれたネットワーキングコンポーネントであるWinINetを使用して送信する。マルウェアは、感染マシンから盗んだデータを受け取るリモートインフラであるコマンド&コントロール(C2)サーバーを、TelegramとSteam上で切り替え、IPフィルタリングを回避するためにハードコードされたドメインを使用している。配布サイトであるarche-hypnose[.]comは侵害されたウェブサイトで、SlowMistが暴露するまで不審な兆候は見られなかった。macOS用ダウンロードリンクは404エラーを返したため、macOSサンプルは取得できず、macOS亜種が存在するかどうかは未確認のままである。

🚨 SlowMist TI Alert: Beware of the "Cracked TradingView Premium" Infostealer 🚨 Since mid-October, X account "cryptotrice" has repeatedly promoted a so-called "reverse-engineered cracked #TradingView Premium," with some posts passing 300K views. The software requires… pic.twitter.com/SxJDx3iXwa

— SlowMist (@SlowMist_Team)、2026年11月9日、Xより

なぜこの脅威は1つのアカウントにとどまらないのか

直接的な被害者はCrackedソフトウェアをインストールしたトレーダーだが、その影響はさらに広がる可能性がある。盗まれたブラウザの認証情報は、取引所アカウント、メール、クラウドサービスを露呈させうる。盗まれたTelegramデータは、信頼する連絡先へのなりすましやフィッシングを可能にする。ウォレットデータは資産損失を引き起こす可能性があり、特にシードフレーズ(暗号資産ウォレットへの完全なコントロールを可能にするリカバリーフレーズ)や秘密鍵が露呈した場合は深刻である。

取引所やウォレットプロバイダーにとって、この事件は、セキュリティが二要素認証や出金アドレスの許可リストだけでなく、エンドポイントの衛生管理にも依存していることを浮き彫りにしている。セキュリティチームにとって、C2の切り替えに正規プラットフォームが使用されていることは、ドメインブロックだけでは不十分である理由を示している。

このキャンペーンは、The Streetが報じたように、より広いパターンにも合致する。Lumma、Vidar、Atomic Stealer(AMOS)といったインフォスティーラーは、偽の取引ツールやCrackedソフトウェアを通じて繰り返し配布されてきた。Malwarebytesは以前、Reddit上でWindowsにはLummaを、macOSにはAMOSを配布するTradingView関連のおとりを文書化しており、被害者からウォレットが空にされたとの報告があった。Hexastrikeはその後、WindowsではVidarを、MacではAMOSを使用する2026年の亜種を公表した。

ユーザーと業界が次に取るべき対策

SlowMistは、このソフトウェアを実行した人に対し、迅速な対応を呼びかけた。ネットワークから切断し、新しいウォレットとシードフレーズを備えたクリーンなデバイスに資産を移行し、ブラウザ、取引所、メール、Telegramのパスワードを変更し、アクティブなTelegramセッションをすべて終了すること。インフォスティーラーが実行された場合、直ちに損失が見られない場合でも、パスワードとセッションは侵害されたものとして扱うべきである。

ユーザーは、TradingViewを公式ウェブサイト、Google Play、iOS App Storeからのみダウンロードし、Cracked版、KeyGen、信頼できない情報源からのパスワード保護されたアーカイブは避けるべきである。プラットフォーム側も、詐欺の報告体制の改善や危険なリンクへの警告を強化することで、より多くの対応が可能である。

「Cracked TradingView Premiumキャンペーンは、マルウェアが新しかったために失敗したのではない。トレーダーが求めていたものを、信頼できると思わせる身近な言葉で提供したことに成功したのだ。自己管理カストディが深刻な金的影響を持つ暗号資産の世界では、これが最も重要な防御線である。」