Сегодня в крипто-соцсетях распространяется утверждение о бесплатном доступе к премиальным торговым инструментам без подписки. По данным компании в сфере блокчейн-безопасности SlowMist, это предложение — так называемая взломанная версия TradingView Premium (ПО, модифицированное для обхода платной лицензии) — на самом деле не открывает премиальные функции. Вместо этого это Windows-инфостилер, предназначенный для сбора конфиденциальной информации и передачи её злоумышленникам. Инфостилеры — это класс вредоносного ПО, созданный для сбора сохранённых учётных данных, данных сессий и файлов с заражённого устройства. Компания поделилась результатами в предупреждении службы киберразведки, опубликованном в X 9 ноября 2026 года.

TradingView широко используется трейдерами для отслеживания Bitcoin, Ethereum, акций и деривативов, а Premium — один из платных тарифов платформы. Если инструмент для графиков скомпрометирован, он может дать доступ к биржевым аккаунтам, сессиям браузера, кошелькам и личной переписке.

Что SlowMist обнаружила во взломанном установщике

SlowMist отметила, что кампания «Cracked TradingView Premium» продвигается с середины октября аккаунтом @cryptotrice в X, а некоторые посты набрали более 300 тысяч просмотров, что обеспечило приманке значительный охват на платформе. Процесс установки включает скачивание архива, защищённого паролем, и генерацию лицензионного кода через KeyGen. Автор сообщил BleepingComputer, что проект был открытым исходным кодом на GitHub, однако SlowMist установила, что ссылка на скачивание не ведёт на GitHub. В ответ автор заявил, что репозиторий был переведён в приватный режим и доступен только через ссылку на скачивание.

SlowMist подтвердила, что Windows-образ собирает данные из браузеров, криптокошельков и Telegram и отправляет их с использованием WinINet — встроенного сетевого компонента Windows. Вредонос ротирует командные серверы (C2) — удалённую инфраструктуру, принимающую украденные данные с заражённых машин, — через Telegram и Steam, используя жёстко прописанные домены для обхода IP-фильтрации. Сайт доставки, arche-hypnose[.]com, — это скомпрометированный веб-ресурс, который не вызывал подозрений, пока SlowMist не раскрыла его. Ссылка на скачивание для macOS возвращала ошибку 404, поэтому образ для macOS получен не был, а существование варианта для macOS остаётся неподтверждённым.

🚨 SlowMist TI Alert: Beware of the "Cracked TradingView Premium" Infostealer 🚨 Since mid-October, X account "cryptotrice" has repeatedly promoted a so-called "reverse-engineered cracked #TradingView Premium," with some posts passing 300K views. The software requires… pic.twitter.com/SxJDx3iXwa

— SlowMist (@SlowMist_Team), November 9, 2026, via X

Почему угроза выходит за рамки одного аккаунта

Непосредственные жертвы — трейдеры, установившие взломанное ПО, но последствия могут быть шире. Украденные учётные данные браузера могут раскрыть биржевые аккаунты, почту и облачные сервисы. Украденные данные Telegram могут позволить выдачу себя за других и фишинг доверенных контактов. Данные кошелька могут привести к потере активов, особенно если раскрыты seed-фразы — фразы восстановления, дающие полный контроль над криптокошельком, — или приватные ключи.

Для бирж и провайдеров кошельков инцидент подчёркивает, что безопасность зависит не только от двухфакторной аутентификации и белых списков адресов вывода, но и от гигиены конечных устройств. Для команд безопасности использование легитимных платформ для ротации C2-серверов показывает, почему одной блокировки доменов недостаточно.

Кампания также вписывается в более широкую картину, о чём пишет The Street. Инфостилеры, такие как Lumma, Vidar и Atomic Stealer (AMOS), неоднократно распространялись через поддельные торговые инструменты и взломанное ПО. Malwarebytes ранее задокументировал связанную с TradingView приманку на Reddit, распространявшую Lumma на Windows и AMOS на macOS, а жертвы сообщали об опустошённых кошельках. Hexastrike позже опубликовал описание вариации 2026 года с использованием Vidar на Windows и AMOS на Mac.

Что пользователям и индустрии делать дальше

SlowMist предупредила тех, кто запускал это ПО, о необходимости действовать быстро: отключиться от сети, перевести активы на чистое устройство с новым кошельком и seed-фразой, сменить пароли для браузеров, бирж, почты и Telegram и завершить все активные сессии Telegram. Если инфостилер выполнился, пароли и сессии следует считать скомпрометированными, независимо от того, заметны ли потери.

Пользователям следует скачивать TradingView только с официального сайта, из Google Play или App Store для iOS и держаться подальше от взломанных версий, KeyGen'ов и защищённых паролем архивов из ненадёжных источников. Платформы также могут сделать больше, улучшив систему сообщений о мошенничестве и предупреждая пользователей об опасных ссылках.

«Кампания взломанного TradingView Premium не провалилась из-за новизны вредоносного ПО. Она преуспела, потому что предложила трейдерам то, чего они хотели, на понятном им языке, чтобы выглядеть заслуживающей доверия. В крипто, где самостоятельное хранение активов имеет серьёзные финансовые последствия, это важнейшая линия обороны.»