安全公司慢雾(SlowMist)警告称，一个X账户正在通过假冒的TradingView Premium“破解版”分发窃取加密货币的恶意软件。据该公司介绍，此类骗局已运行约18个月，旨在窃取私钥、浏览器登录凭证和通讯会话。“破解版”软件是指剥离了许可验证的付费产品未授权副本——这一诱饵已在安全研究人员记录的多个恶意软件活动中反复出现。

慢雾在其官方X账户(慢雾X账号)发布的警告中表示，一个使用“cryptotrice”账号的账户自10月中旬以来一直在传播该假冒“破解版”软件。该软件包携带一个信息窃取器——专为从受感染设备中扫取凭证、会话数据和钱包资料而设计的恶意软件——能够清空加密钱包并接管Telegram账户。

似曾相识的手法

TradingView是交易者用来查看图表和研究市场的图表网站。该公司一年多以来一直提醒用户警惕“破解版”骗局，并澄清其不出售软件的破解副本。2025年，该公司报告称，诈骗者设立了假冒其官方账号的YouTube频道(TradingView博客)。

这些频道引导毫无戒心的观众转向TradingView应用的“开发者版本”或“破解版本”。所谓开发者版本的“下载”选项实际上是一条PowerShell命令，会安装远程访问木马，随后清空受害者的钱包。TradingView表示，它从不要求用户运行命令行脚本来安装其软件。

从虚假广告到虚假AI工具

在慢雾发出警告之前，Bitdefender追踪到了一场长期推广假冒“TradingView Premium”的广告活动(Bitdefender Labs)。该活动始于Facebook Ads,随后蔓延至Google Ads和YouTube。到2026年，同一批团伙已不再提供“免费高级版”优惠，转而销售虚假AI工具。话术变了，但研究人员从这些活动中提取的文件仍然投递窃取数据的恶意软件。

Malwarebytes发现了一个名为TradingClaw的网站，该网站自称是TradingView的AI助手(Malwarebytes)。该工具实际上安装的是Needle Stealer,一种用Go编程语言编写的数据窃取程序。HP(NYSE: HPQ)另外发现在tradingclaw[.]pro上有一个虚假AI加密交易工具，将Needle Stealer藏在由Microsoft(NASDAQ: MSFT)签名的程序内。该签名帮助其绕过Windows SmartScreen——Windows内置的安全检查。代码签名的作用是向操作系统确认程序的发布者，因此带有有效签名的文件通常触发的安全警告较少。一旦进入系统，该恶意软件会用有害副本替换受害者的浏览器钱包扩展。

Needle Stealer会收集浏览器历史记录、Cookie和保存的登录凭证，并从Telegram等应用程序中提取数据。它攻击Ledger、Trezor和Exodus等桌面钱包，以及MetaMask和Coinbase Wallet(Coinbase,NASDAQ: COIN)等浏览器钱包，企图窃取助记词——即可以在另一台设备上重建钱包、谁持有谁就能完全控制其中资金的恢复词组。HP分析的样本会查找七种浏览器钱包扩展，包括Phantom,并捕获受害者在假冒解锁界面中输入的任何密码。

信息窃取器感染持续攀升

Cryptopolitan此前曾报道过Reaper——一种隐藏在虚假应用下载页面背后的Mac数据窃取程序，一旦激活便攻击Ledger Live、Trezor Suite和Exodus(Cryptopolitan)。

Flashpoint报告称，2026年上半年有740万台设备感染了信息窃取器，比前六个月增加27%,且已有17亿条凭证被盗。由于信息窃取器会扫取浏览器保存的所有内容，这种凭证窃取不仅涉及加密账户，还波及受害者存储的任何登录信息。Flashpoint将Vidar列为最常见的恶意软件变种，排在StealC和Lumma之前。在2025年5月一次执法行动查封约2,300个命令与控制域名之前，Lumma一直居于首位。Flashpoint还指出，Telegram已成为传播此类工具的渠道——而它恰恰也是Needle Stealer专门窃取数据的应用。该平台如今处于这一威胁的两端：既是窃取器的分发渠道，也是它们进入系统后收割的目标。