Er circuleert vandaag een bewering op crypto-social media die gratis toegang tot premium handelstools belooft, zonder abonnement. Volgens het blockchainbeveiligingsbedrijf SlowMist ontgrendelt het aanbod — een zogenaamde gekraakte versie van TradingView Premium, software die is aangepast om de betaalde licentie te omzeilen — in werkelijkheid geen premiumfuncties. In plaats daarvan is het een Windows-infostealer die is ontworpen om gevoelige informatie te verzamelen en naar aanvallers te sturen. Infostealers zijn een klasse van malware die is gebouwd om opgeslagen inloggegevens, sessiegegevens en bestanden van een geïnfecteerd apparaat te oogsten. Het bedrijf deelde zijn bevindingen in een waarschuwing voor dreigingsinformatie geplaatst op X op 9 november 2026.

TradingView wordt veelvuldig gebruikt door handelaren om Bitcoin, Ethereum, aandelen en derivaten te volgen, en Premium is een van de betaalde abonnementsniveaus van het platform. Als de grafiektool gecompromitteerd is, kan dit toegang bieden tot beursaccounts, browsersessies, wallets en priv communicatie.

Wat SlowMist vond in de gekraakte installer

SlowMist merkte op dat de campagne "Cracked TradingView Premium" sinds half oktober wordt gepromoot door het X-account @cryptotrice, waarbij sommige posts meer dan 300.000 weergaven ontvingen, waardoor de lokaas aanzienlijk bereik kreeg op het platform. Het installatieproces omvat het downloaden van een met een wachtwoord beveiligd archief en het genereren van een licentiecode via een KeyGen. De auteur vertelde BleepingComputer dat het project open source was op GitHub, hoewel SlowMist vaststelde dat de downloadlink niet naar GitHub leidde. In reactie daarop zei de auteur dat de repository op privé was gezet en alleen via de downloadlink toegankelijk was.

SlowMist bevestigde dat het Windows-voorbeeld gegevens verzamelt uit browsers, crypto-wallets en Telegram, en deze verzendt via WinINet, een ingebouwd Windows-netwerkonderdeel. De malware laat command-and-control-servers — de externe infrastructuur die gestolen gegevens van geïnfecteerde machines ontvangt — rouleren via Telegram en Steam, met behulp van hardgecodeerde domeinen om IP-filtering te omzeilen. De leveringssite, arche-hypnose[.]com, is een gecompromitteerde website die geen tekenen van verdacht gedrag vertoonde totdat SlowMist het onthulde. De macOS-downloadlink gaf een 404-fout terug, dus er werd geen macOS-voorbeeld verkregen, en of er een macOS-variant bestaat blijft onbevestigd.

🚨 SlowMist TI Alert: Beware of the "Cracked TradingView Premium" Infostealer 🚨 Since mid-October, X account "cryptotrice" has repeatedly promoted a so-called "reverse-engineered cracked #TradingView Premium," with some posts passing 300K views. The software requires… pic.twitter.com/SxJDx3iXwa

— SlowMist (@SlowMist_Team), 9 november 2026, via X

Waarom de dreiging verder reikt dan één account

De directe slachtoffers zijn handelaren die de gekraakte software hebben geïnstalleerd, maar de impact kan verder reiken. Gestolen browserinloggegevens kunnen beursaccounts, e-mail en clouddiensten blootleggen. Gestolen Telegram-gegevens kunnen imitatie en phishing van vertrouwde contacten mogelijk maken. Wallet-gegevens kunnen tot verlies van activa leiden, vooral als seed phrases — de herstelzinnen die volledige controle over een crypto-wallet verlenen — of privésleutels worden blootgesteld.

Voor beurzen en wallet-aanbieders onderstreept het incident dat beveiliging niet alleen afhangt van tweefactorauthenticatie en opnamelijsten, maar ook van de hygiëne van eindpunten. Voor beveiligingsteams toont het gebruik van legitieme platforms voor het rouleren van command-and-control aan waarom domeinblokkering alleen onvoldoende is.

De campagne past ook in een breder patroon, zoals behandeld door The Street. Infostealers zoals Lumma, Vidar en Atomic Stealer (AMOS) zijn herhaaldelijk verspreid via valse handelstools en gekraakte software. Malwarebytes documenteerde eerder een TradingView-verwant lokaas op Reddit dat Lumma verspreidde op Windows en AMOS op macOS, waarbij slachtoffers melding maakten van geplunderde wallets. Hexastrike publiceerde later een variant uit 2026 met Vidar op Windows en AMOS op Mac.

Wat gebruikers en de industrie nu moeten doen

SlowMist waarschuwde mensen die de software hadden uitgevoerd om snel te handelen: verbreek de netwerkverbinding, zet activa over naar een schoon apparaat met een nieuwe wallet en seed phrase, wijzig wachtwoorden voor browsers, beurzen, e-mail en Telegram, en beëindig alle actieve Telegram-sessies. Als een infostealer wordt uitgevoerd, moeten wachtwoorden en sessies als gecompromitteerd worden beschouwd, ongeacht of er direct verlies zichtbaar is.

Gebruikers moeten TradingView alleen downloaden van de officiële website, Google Play of de iOS App Store, en gekraakte versies, KeyGens en met wachtwoord beveiligde archieven van onbetrouwbare bronnen vermijden. Platforms kunnen ook meer doen door scam-meldingen te verbeteren en gebruikers te waarschuwen voor gevaarlijke links.

"De cracked TradingView premium-campagne faalde omdat de malware nieuw was. Het slaagde omdat het handelaren gaf wat ze wilden, in een vertrouwde taal, zodat het betrouwbaar leek. In crypto, waar zelfbeheer ernstige financiële gevolgen heeft, is dit de meest cruciale verdedigingslinie."