セキュリティ企業SlowMistは、Xアカウントが偽の「クラック版」TradingView Premiumを通じて暗号資産窃取マルウェアを配布していると警告した。同社によると、この種の詐欺は約18か月間続いており、秘密鍵、ブラウザのログイン情報、メッセージングセッションを窃取することを目的としている。「クラック版」とは、ライセンス認証を解除した有料製品の不正コピーを指し、セキュリティ研究者が確認してきた複数のマルウェアキャンペーンで繰り返し見られた手法である。

公式Xアカウントに投稿された警告(SlowMist on X)によると、SlowMistは「cryptotrice」というハンドル名のアカウントが10月中旬から偽の「クラック版」ソフトウェアを拡散していると説明した。このパッケージにはインフォスティーラー(感染デバイスから認証情報、セッションデータ、ウォレット情報を収集する目的で作られたマルウェア)が仕込まれており、暗号資産ウォレットを空にし、Telegramアカウントを乗っ取ることが可能だという。

周知の手口

トレーダーがチャートの閲覧や市場分析に利用するチャートサイトTradingViewは、「クラック版」詐欺について1年以上前からユーザーに注意を呼びかけ、クラック版ソフトウェアを販売していないことを明確にしている。2025年には、詐欺師が同社の公式アカウントを装う偽YouTubeチャンネルを設立したと報告していた(TradingView blog)。

これらのチャンネルは、疑いを持たない視聴者を「開発者版」や「クラック版」のTradingViewアプリへ誘導することを目的としていた。いわゆる開発者版の「ダウンロード」ボタンは実際にはPowerShellコマンドであり、リモートアクセス型トロイの木馬をインストールした後、被害者のウォレットを空にしていた。TradingViewは、ソフトウェアのインストールのためにコマンドラインスクリプトの実行をユーザーに求めることは決してないと表明している。

偽広告から偽AIツールへ

SlowMistの警告に先立ち、Bitdefenderは偽の「TradingView Premium」を宣伝する長期にわたる広告キャンペーンを追跡していた(Bitdefender Labs)。このキャンペーンはFacebook広告で始まり、その後Google広告やYouTubeへ拡大した。2026年までに、同じグループは「無料プレミアム」の提供から離れ、代わりに偽AIツールを販売するようになった。誘い文句は変わったが、研究者がこれらのキャンペーンから入手したファイルは、依然としてデータ窃取マルウェアを配布していた。

Malwarebytesは、TradingViewのAIアシスタントを装うTradingClawというサイトを発見した(Malwarebytes)。このツールは実際には、Goプログラミング言語で書かれたデータ窃取プログラムであるNeedle Stealerをインストールしていた。HP(NYSE: HPQ)は別途、tradingclaw[.]proで偽のAI暗号資産トレーディングツールを発見し、Microsoft(NASDAQ: MSFT)によって署名されたプログラム内にNeedle Stealerが隠されていたことを確認した。この署名により、Windowsの組み込みセキュリティチェックであるWindows SmartScreenをすり抜けることが可能になった。コード署名はプログラムの発行元をオペレーティングシステムに対して確認するためのものであり、有効な署名を持つファイルは通常、セキュリティ警告が少ない。システム内に侵入すると、マルウェアは被害者のブラウザウォレット拡張機能を有害なコピーに置き換えた。

Needle Stealerはブラウザの履歴、Cookie、保存されたログイン情報を収集し、Telegramなどのアプリケーションからデータを抽出する。Ledger、Trezor、Exodusなどのデスクトップウォレットや、MetaMask、Coinbase Wallet(Coinbase、NASDAQ: COIN)などのブラウザウォレットを標的にし、シードフレーズ(別のデバイスでウォレットを復元でき、保有者に資金の完全な管理権を与えるリカバリ用単語列)の窃取を試みる。HPが分析したサンプルは、Phantomを含む7つのブラウザウォレット拡張機能を探索し、被害者が偽のロック解除画面に入力したパスワードをすべて取得していた。

拡大するインフォスティーラー感染

Cryptopolitanは以前、ReaperというMac向けデータ窃取プログラムについて報道した。このプログラムは偽のアプリダウンロードページの背後に隠れており、活動を開始するとLedger Live、Trezor Suite、Exodusを標的とした(Cryptopolitan)。

Flashpointによると、2026年上半期に740万台のデバイスがインフォスティーラーに感染しており、前の6か月間から27%増加し、17億の認証情報が窃取されたという。インフォスティーラーはブラウザに保存されたすべてを収集するため、この認証情報窃取は暗号資産アカウントにとどまらず、被害者が保存したあらゆるログイン情報に及ぶ。Flashpointは、最も一般的なマルウェア変種としてVidarをStealCとLummaの上位に位置付けた。Lummaは2025年5月の法執行機関による摘発で約2,300のコマンド&コントロールドメインが押収されるまで首位を維持していた。Flashpointはまた、Telegramがこの種のツールの拡散経路になっていると指摘しており、これはNeedle Stealerが略奪のために作られたのと同じアプリである。このプラットフォームは脅威の両側に位置している。スティーラーの配布経路であると同時に、侵入後に収奪される獲物でもある。