SlowMist 警告:破解版 TradingView Premium 实为 Windows 信息窃取木马,相关帖子浏览量超 30 万
要点速览
- •SlowMist 在 2026 年 11 月 9 日发布的警报中披露,所谓的破解版 TradingView Premium 实际上是一个 Windows 信息窃取木马,并不能解锁高级功能。
- •该欺诈活动自 10 月中旬起由 X 账号 @cryptotrice 推广,单个帖子浏览量超过 30 万。
- •该恶意软件从浏览器、加密钱包和 Telegram 中提取数据,通过 WinINet 外传窃取的信息,并经 Telegram 和 Steam 轮换命令与控制服务器以逃避基于 IP 的封堵。
- •泄露的助记词或私钥可能导致加密资产损失,而被盗凭证和 Telegram 数据可能造成账户接管和对可信联系人的钓鱼攻击。
- •SlowMist 建议曾运行该软件的用户断开网络,将资产转移至配备全新钱包和助记词的干净设备,更换密码,并关闭活跃的 Telegram 会话。
今天,加密社区社交媒体上流传着一种说法:无需订阅即可免费使用高级交易工具。据区块链安全公司 SlowMist 称,这一所谓破解版 TradingView Premium——即绕过付费授权的修改版软件——并不能真正解锁高级功能。它实际上是一个 Windows 信息窃取木马,旨在收集敏感信息并发送给攻击者。信息窃取木马是一类专门从受感染设备中窃取已保存凭证、会话数据和文件的恶意软件。该公司于 2026 年 11 月 9 日在 X 上发布的威胁情报警报中公布了其发现。
TradingView 被交易者广泛用于监控比特币、以太坊、股票和衍生品,Premium 是该平台的付费订阅层级之一。如果该图表工具被攻破,攻击者可能获取交易所账户、浏览器会话、钱包和私人通讯的访问权限。
SlowMist 在破解安装包中发现了什么
SlowMist 指出,"破解版 TradingView Premium"活动自 10 月中旬起由 X 账号 @cryptotrice 推广,部分帖子浏览量超过 30 万,使这一诱饵在平台上获得了极大的传播范围。安装过程包括下载一个带密码保护的压缩包,并通过 KeyGen 生成许可证代码。作者告诉 BleepingComputer,该项目在 GitHub 上是开源的,但 SlowMist 发现下载链接并未指向 GitHub。作为回应,作者表示已将仓库设为私有,只能通过下载链接访问。
SlowMist 确认,该 Windows 样本会从浏览器、加密钱包和 Telegram 中收集数据,并通过 Windows 内置网络组件 WinINet 将数据外传。该恶意软件通过 Telegram 和 Steam 轮换命令与控制服务器——即接收受感染机器所窃取数据的远程基础设施——并使用硬编码域名来规避 IP 过滤。分发站点 arche-hypnose[.]com 是一个被攻陷的网站,在 SlowMist 揭露之前并无可疑迹象。macOS 下载链接返回 404 错误,因此未获取到 macOS 样本,是否存在 macOS 变种尚未得到确认。
🚨 SlowMist TI Alert: Beware of the "Cracked TradingView Premium" Infostealer 🚨 Since mid-October, X account "cryptotrice" has repeatedly promoted a so-called "reverse-engineered cracked #TradingView Premium," with some posts passing 300K views. The software requires… pic.twitter.com/SxJDx3iXwa
— SlowMist (@SlowMist_Team),2026 年 11 月 9 日,来自 X
为什么这一威胁的影响远超单个账户
直接受害者是安装了该破解软件的交易者,但影响可能波及更广。被盗的浏览器凭证可能暴露交易所账户、邮箱和云服务。被盗的 Telegram 数据可能被用于冒充可信联系人进行钓鱼攻击。钱包数据可能导致资产损失,尤其是当助记词——即授予加密钱包完全控制权的恢复短语——或私钥泄露时。
对于交易所和钱包服务商而言,该事件表明安全性不仅取决于双因素认证和提现白名单,还取决于终端设备的卫生状况。对于安全团队而言,攻击者利用合法平台轮换命令与控制服务器,说明仅靠域名封堵是不够的。
该活动也符合更广泛的模式,据 The Street 报道。Lumma、Vidar 和 Atomic Stealer(又称 AMOS)等信息窃取木马曾多次通过虚假交易工具和破解软件分发。Malwarebytes 此前记录了 Reddit 上一个与 TradingView 相关的诱饵,在 Windows 上分发 Lumma,在 macOS 上分发 AMOS,有受害者报告钱包被清空。Hexastrike 随后发布了 2026 年的变种,在 Windows 上使用 Vidar,在 Mac 上使用 AMOS。
用户和行业接下来应该怎么做
SlowMist 警告曾运行过该软件的用户立即采取行动:断开网络,将资产转移到带有全新钱包和助记词的干净设备上,更换浏览器、交易所、邮箱和 Telegram 的密码,并关闭所有活跃的 Telegram 会话。一旦信息窃取木马执行,无论是否出现明显损失,密码和会话都应被视为已泄露。
用户应仅从官方网站、Google Play 或 iOS App Store 下载 TradingView,远离破解版本、KeyGen 以及来自不可信来源的带密码压缩包。平台也可以做得更多,例如改进诈骗举报机制并就危险链接向用户发出警告。
"破解版 TradingView Premium 活动的失败之处在于恶意软件是新的。它的成功之处在于以交易者熟悉的语言提供了他们想要的东西,从而显得可信。在加密领域,自我托管具有重大的财务影响,这是最关键的一道防线。"
