Krążąca dziś w mediach społecznościowych dotyczących kryptowalut informacja obiecuje bezpłatny dostęp do płatnych narzędzi tradingowych bez konieczności wykupienia subskrypcji. Według firmy SlowMist zajmującej się bezpieczeństwem blockchainów oferta, czyli tak zwana złamana wersja TradingView Premium — oprogramowanie zmodyfikowane w celu obejścia płatnej licencji — w rzeczywistości nie odblokowuje funkcji premium. Zamiast tego jest infostealerem dla systemu Windows, zaprojektowanym do zbierania poufnych informacji i przesyłania ich atakującym. Infostealery to rodzaj złośliwego oprogramowania służącego do pozyskiwania zapisanych danych uwierzytelniających, danych sesji i plików z zainfekowanego urządzenia. Firma przedstawiła swoje ustalenia w alercie wywiadu o zagrożeniach opublikowanym na X 9 listopada 2026 r.

TradingView jest powszechnie używane przez traderów do monitorowania Bitcoin, Ethereum, akcji i instrumentów pochodnych, a Premium jest jednym z płatnych poziomów subskrypcji platformy. Jeśli narzędzie do tworzenia wykresów zostanie przejęte, może zapewnić dostęp do kont giełdowych, sesji przeglądarek, portfeli i prywatnej komunikacji.

Co SlowMist odkrył w złamanym instalatorze

SlowMist zauważył, że kampania „Cracked TradingView Premium” jest promowana od połowy października przez konto @cryptotrice na X, a niektóre posty uzyskały ponad 300 000 wyświetleń, zapewniając przynęcie szeroki zasięg na platformie. Proces instalacji obejmuje pobranie archiwum chronionego hasłem i wygenerowanie kodu licencyjnego za pomocą KeyGen. Autor powiedział BleepingComputer, że projekt był open source na GitHubie, jednak SlowMist ustalił, że link do pobrania nie prowadził do GitHuba. W odpowiedzi autor stwierdził, że repozytorium zostało ustawione jako prywatne i było dostępne wyłącznie za pośrednictwem linku do pobrania.

SlowMist potwierdził, że próbka dla systemu Windows zbiera dane z przeglądarek, portfeli kryptowalutowych i Telegrama, a następnie przesyła je za pomocą WinINet, wbudowanego komponentu sieciowego systemu Windows. Złośliwe oprogramowanie zmienia serwery dowodzenia i kontroli — zdalną infrastrukturę odbierającą skradzione dane z zainfekowanych urządzeń — między Telegramem a Steamem, wykorzystując zakodowane na stałe domeny w celu uniknięcia filtrowania adresów IP. Witryna służąca do dystrybucji, arche-hypnose[.]com, jest przejętą stroną, która nie wykazywała oznak podejrzanej aktywności, dopóki SlowMist tego nie ujawnił. Link do pobrania wersji dla macOS zwracał błąd 404, dlatego nie pozyskano próbki dla macOS, a istnienie wariantu dla tego systemu pozostaje niepotwierdzone.

🚨 SlowMist TI Alert: Beware of the "Cracked TradingView Premium" Infostealer 🚨 Since mid-October, X account "cryptotrice" has repeatedly promoted a so-called "reverse-engineered cracked #TradingView Premium," with some posts passing 300K views. The software requires… pic.twitter.com/SxJDx3iXwa

— SlowMist (@SlowMist_Team), November 9, 2026, via X

Dlaczego zagrożenie wykracza poza jedno konto

Bezpośrednimi ofiarami są traderzy, którzy zainstalowali złamane oprogramowanie, ale skutki mogą być szersze. Skradzione dane uwierzytelniające z przeglądarek mogą ujawnić konta giełdowe, pocztę elektroniczną i usługi chmurowe. Skradzione dane z Telegrama mogą umożliwić podszywanie się pod inne osoby i phishing wobec zaufanych kontaktów. Dane portfeli mogą doprowadzić do utraty aktywów, szczególnie jeśli ujawnione zostaną frazy seed — frazy odzyskiwania zapewniające pełną kontrolę nad portfelem kryptowalutowym — lub klucze prywatne.

W przypadku giełd i dostawców portfeli incydent pokazuje, że bezpieczeństwo zależy nie tylko od uwierzytelniania dwuskładnikowego i list dozwolonych wypłat, lecz także od higieny punktów końcowych. Dla zespołów bezpieczeństwa wykorzystywanie legalnych platform do rotacji serwerów dowodzenia i kontroli pokazuje, dlaczego samo blokowanie domen jest niewystarczające.

Kampania wpisuje się również w szerszy schemat, opisany przez The Street. Infostealery takie jak Lumma, Vidar i Atomic Stealer (AMOS) były wielokrotnie rozpowszechniane za pośrednictwem fałszywych narzędzi tradingowych i złamanego oprogramowania. Malwarebytes wcześniej udokumentował przynętę związaną z TradingView na Reddicie, rozpowszechniającą Lumma na Windowsie i AMOS na macOS, a ofiary zgłaszały opróżnienie portfeli. Później Hexastrike opublikował wariant z 2026 r. wykorzystujący Vidar na Windowsie i AMOS na Macu.

Co powinni zrobić użytkownicy i branża

SlowMist ostrzegł osoby, które uruchomiły to oprogramowanie, aby działały szybko: odłączyły się od sieci, przeniosły aktywa na czyste urządzenie z nowym portfelem i frazą seed, zmieniły hasła do przeglądarek, giełd, poczty elektronicznej i Telegrama oraz zamknęły wszystkie aktywne sesje Telegrama. Jeśli infostealer zostanie uruchomiony, należy uznać hasła i sesje za przejęte, niezależnie od tego, czy strata jest od razu widoczna.

Użytkownicy powinni pobierać TradingView wyłącznie z oficjalnej strony internetowej, Google Play lub App Store dla iOS, a także unikać złamanych wersji, KeyGenów i archiwów chronionych hasłem pochodzących z niezaufanych źródeł. Platformy mogą również zrobić więcej, usprawniając zgłaszanie oszustw i ostrzegając użytkowników przed niebezpiecznymi linkami.

"The cracked TradingView premium campaign failed because the malware was new. It succeeded because it provided traders with what they wanted in a familiar language to make it seem trustworthy. In crypto, where self-custody has serious financial repercussions, this is the most critical line of defense."