Securitybedrijf SlowMist heeft gewaarschuwd dat een X-account crypto-stelende malware verspreidt via een valse “gekraakte” versie van TradingView Premium. Volgens het bedrijf draait dit soort oplichting al ongeveer 18 maanden en is het ontworpen om privésleutels, browserlogins en berichtensessies te stelen. “Gekraakte” software is een ongeautoriseerde kopie van een betaald product waarvan de licentiecontroles zijn verwijderd — een lokkertje dat in meerdere malwarecampagnes die door securityonderzoekers zijn gedocumenteerd is teruggekeerd.

In een waarschuwing op zijn officiële X-account (SlowMist op X) meldde SlowMist dat een account onder de naam “cryptotrice” de valse “gekraakte” software sinds half oktober verspreidt. Het pakket bevat een infostealer — malware die is ontworpen om inloggegevens, sessiedata en walletmateriaal van een besmet apparaat te verzamelen — die crypto-wallets kan legen en Telegram-accounts kan overnemen.

Een bekend afrecept

TradingView, de chartwebsite die handelaren gebruiken om grafieken te bekijken en de markt te bestuderen, waarschuwt gebruikers al meer dan een jaar voor “gekraakte versie”-oplichting en heeft verduidelijkt dat het geen gekraakte exemplaren van zijn software verkoopt. In 2025 meldde het bedrijf dat oplichters valse YouTube-kanalen hadden opgezet die zich voordeden als het officiële account (TradingView-blog).

De kanalen lokten nietsvermoedende kijkers naar een “developer-versie” of “gekraakte versie” van de TradingView-app. De “download”-optie voor de zogenaamde developer-versie was in werkelijkheid een PowerShell-opdracht die een remote-access-trojan installeerde en vervolgens de wallets van slachtoffers leegde. TradingView heeft verklaard dat het gebruikers nooit vraagt om command-line-scripts uit te voeren om zijn software te installeren.

Van valse advertenties naar valse AI-tools

Voór de waarschuwing van SlowMist volgde Bitdefender een langlopende advertentiecampagne die een valse “TradingView Premium” aanprijste (Bitdefender Labs). De campagne begon op Facebook Ads en breidde zich later uit naar Google Ads en YouTube. In 2026 waren dezelfde groepen overgestapt van “gratis premium”-aanbiedingen en verkochten ze in plaats daarvan valse AI-tools. De verkooppraat was veranderd, maar de bestanden die onderzoekers uit deze campagnes haalden leverden nog steeds data-stelende malware op.

Malwarebytes ontdekte een site genaamd TradingClaw die zich voordeed als een AI-helper voor TradingView (Malwarebytes). De tool installeerde in werkelijkheid Needle Stealer, een data-stelend programma geschreven in de programmeertaal Go. HP (NYSE: HPQ) vond apart een valse AI-crypto-handelstool op tradingclaw[.]pro die Needle Stealer verstopte in een programma dat door Microsoft (NASDAQ: MSFT) was ondertekend. De handtekening hielp het programma om langs Windows SmartScreen, de ingebouwde Windows-beveiligingscontrole, te glippen. Codesignatures zijn bedoeld om de uitgever van een programma aan het besturingssysteem te bevestigen, dus een bestand met een geldige handtekening wekt doorgaans minder beveiligingswaarschuwingen. Eenmaal binnen in een systeem verving de malware de browser-walletextensie van het slachtoffer door een schadelijke kopie.

Needle Stealer oogstt browsergeschiedenis, cookies en opgeslagen logins en haalt gegevens uit applicaties zoals Telegram. Het richt zich op desktop-wallets zoals Ledger, Trezor en Exodus, en browser-wallets zoals MetaMask en Coinbase Wallet (Coinbase, NASDAQ: COIN), in een poging seed phrases te stelen — de herstelwoordreeksen die een wallet op een ander apparaat kunnen reconstrueren en de houder ervan volledige controle over de fondsen geven. Het monster dat HP analyseerde zocht naar zeven browser-walletextensies, waaronder Phantom, en ving elk wachtwoord dat het slachtoffer typte in een vals ontgrendelingsscherm.

Infostealer-infecties nemen toe

Cryptopolitan heeft eerder gerapporteerd over Reaper, een Mac-data-stelend programma dat zich verborg achter valse app-downloadpagina's en eenmaal actief Ledger Live, Trezor Suite en Exodus aanviel (Cryptopolitan).

Flashpoint meldde dat in de eerste helft van 2026 7,4 miljoen apparaten besmet raakten met infostealers, 27% meer dan in de voorafgaande zes maanden, en dat 1,7 miljard inloggegevens zijn gestolen. Omdat infostealers alles verzamelen wat een browser heeft opgeslagen, reikt dat diefstal van inloggegevens verder dan crypto-accounts tot elke login die een slachtoffer had opgeslagen. Flashpoint plaatste Vidar boven StealC en Lumma als meest voorkomende malwarevarianten. Lumma zat aan kop tot een wetshandhavingsactie in mei 2025 ongeveer 2.300 command-and-control-domeinen in beslag nam. Flashpoint merkte ook op dat Telegram een kanaal is geworden voor het verspreiden van dit soort tools — dezelfde app die Needle Stealer is gebouwd om te plunderen. Het platform zit nu aan beide kanten van de dreiging: een distributiekanaal voor stealers en een buit die ze eenmaal binnen oogsten.