Firma bezpieczeństwa SlowMist ostrzegła, że konto na X rozpowszechnia kradnący kryptowaluty malware poprzez fałszywą „zhackowaną” wersję TradingView Premium. Według firmy ten typ oszustwa działa od około 18 miesięcy i ma na celu kradzież kluczy prywatnych, danych logowania z przeglądarki oraz sesji komunikatorów. „Zhackowane” oprogramowanie to nieautoryzowana kopia płatnego produktu z usuniętymi mechanizmami weryfikacji licencji — przynęta, która pojawiała się wielokrotnie w różnych kampaniach malware udokumentowanych przez badaczy bezpieczeństwa.

W ostrzeżeniu opublikowanym na oficjalnym koncie X (SlowMist na X) SlowMist poinformował, że konto o handle „cryptotrice” rozpowszechnia fałszywe „zhackowane” oprogramowanie od połowy października. Pakiet zawiera infostealera — malware zaprojektowany do zbierania danych uwierzytelniających, danych sesji i materiałów portfeli z zainfekowanego urządzenia — który może opróżnić portfele kryptowalutowe i przejąć konta Telegram.

Znany scenariusz

TradingView, serwis z wykresami używany przez traderów do analizy rynku, ostrzega użytkowników przed oszustwami związanymi z „wersjami zhackowanymi” od ponad roku i wyjaśnił, że nie sprzedaje zhackowanych kopii swojego oprogramowania. W 2025 roku firma poinformowała, że oszuści utworzyli fałszywe kanały YouTube podszywające się pod jej oficjalne konto (blog TradingView).

Kanały te kierowały nieświadomych widzów do „wersji deweloperskiej” lub „wersji zhackowanej” aplikacji TradingView. Opcja „pobierz” dla rzekomej wersji deweloperskiej była w rzeczywistości poleceniem PowerShell, które instalowało trojana zdalnego dostępu, a następnie opróżniało portfele ofiar. TradingView oświadczył, że nigdy nie prosi użytkowników o uruchamianie skryptów wiersza poleceń w celu instalacji swojego oprogramowania.

Od fałszywych reklam do fałszywych narzędzi AI

Przed ostrzeżeniem SlowMist firma Bitdefender śledziła długo działającą kampanię reklamową promującą fałszywe „TradingView Premium” (Bitdefender Labs). Kampania rozpoczęła się na Facebook Ads, a później rozprzestrzeniła na Google Ads i YouTube. Do 2026 roku te same grupy porzuciły oferty „darmowego premium” i zaczęły sprzedawać fałszywe narzędzia AI. Oferta się zmieniła, ale pliki wyekstrahowane przez badaczy z tych kampanii nadal dostarczały kradnący dane malware.

Malwarebytes odkrył stronę o nazwie TradingClaw, która twierdziła, że jest asystentem AI dla TradingView (Malwarebytes). Narzędzie w rzeczywistości instalowało Needle Stealer, program kradnący dane napisany w języku Go. HP (NYSE: HPQ) niezależnie znalazło fałszywe narzędzie AI do handlu kryptowalutami na tradingclaw[.]pro, które ukrywało Needle Stealer w programie podpisanym przez Microsoft (NASDAQ: MSFT). Podpis pomógł mu ominąć Windows SmartScreen, wbudowany mechanizm zabezpieczeń Windows. Podpisy kodu mają potwierdzać dla systemu operacyjnego wydawcę programu, więc plik z ważnym podpisem zazwyczaj wywołuje mniej ostrzeżeń bezpieczeństwa. Po dostaniu się do systemu malware zastępowało rozszerzenie portfela przeglądarki ofiary szkodliwą kopią.

Needle Stealer zbiera historię przeglądania, pliki cookie i zapisane dane logowania, a także pobiera dane z aplikacji takich jak Telegram. Atakuje portfele desktopowe takie jak Ledger, Trezor i Exodus oraz portfele przeglądarkowe takie jak MetaMask i Coinbase Wallet (Coinbase, NASDAQ: COIN), próbując wykraść frazy seed — sekwencje słów odzyskiwania, które mogą odtworzyć portfel na innym urządzeniu i dają każdemu, kto je posiada, pełną kontrolę nad jego środkami. Próbka analizowana przez HP wyszukiwała siedem rozszerzeń portfeli przeglądarkowych, w tym Phantom, i przechwytywała każde hasło wpisane przez ofiarę w fałszywym ekranie odblokowania.

Rosnąca liczba infekcji infostealerami

Cryptopolitan wcześniej informował o Reaper, programie kradnącym dane na Maca ukrytym za fałszywymi stronami pobierania aplikacji, który po aktywacji atakował Ledger Live, Trezor Suite i Exodus (Cryptopolitan).

Flashpoint poinformował, że w pierwszej połowie 2026 roku 7,4 miliona urządzeń zostało zainfekowanych infostealerami — o 27% więcej niż w poprzednich sześciu miesiącach — a także skradziono 1,7 miliarda danych uwierzytelniających. Ponieważ infostealery przejmują wszystko, co zapisała przeglądarka, kradzież danych uwierzytelniających wykracza poza konta kryptowalutowe i obejmuje każdą zapisaną przez ofiarę sesję logowania. Flashpoint umieścił Vidar przed StealC i Lumma jako najczęstsze warianty malware. Lumma była na czele aż do majowej w 2025 roku akcji organów ścigania, w której przejęto około 2300 domen command-and-control. Flashpoint zauważył również, że Telegram stał się kanałem rozpowszechniania tego typu narzędzi — tej samej aplikacji, którą Needle Stealer został zbudowany, by okradać. Platforma znajduje się teraz po obu stronach zagrożenia: jest kanałem dystrybucji stealerów i łupem, który zbierają po dostaniu się do środka.