資安公司 SlowMist 警告,一個 X 帳號正透過假的 TradingView Premium「破解版」散布竊取加密貨幣的惡意軟體。據該公司表示,這類騙局已運作約 18 個月,目的是竊取私鑰、瀏覽器登入憑證與通訊軟體工作階段。所謂「破解版」軟體是指移除授權驗證的付費產品未經授權複本——這個誘餌已在資安研究人員記錄的多起惡意軟體攻擊行動中反覆出現。

SlowMist 在其官方 X 帳號發布的警告(SlowMist on X)中指出,一個使用「cryptotrice」帳號名稱的帳戶自 10 月中旬起一直在散布這款假的「破解版」軟體。該軟體包攜帶一種資訊竊取木馬——專門從受感染裝置蒐集憑證、工作階段資料與錢包資訊的惡意軟體——能夠清空加密貨幣錢包並接管 Telegram 帳號。

熟悉的攻擊劇本

TradingView 是交易者用來檢視圖表與研究市場的圖表網站,該公司一年多來持續提醒用戶注意「破解版」騙局,並已澄清其並不販售軟體的破解版本。2025 年,該公司通報詐騙分子設立假冒其官方帳號的假 YouTube 頻道(TradingView 部落格)。

這些頻道引導毫無戒心的觀眾前往 TradingView 應用程式的「開發者版本」或「破解版本」。所謂開發者版本的「下載」選項實際上是一條 PowerShell 命令,會安裝遠端存取木馬,然後清空受害者的錢包。TradingView 已聲明,其從不要求用戶執行命令列腳本來安裝軟體。

從假廣告到假 AI 工具

在 SlowMist 發出警告之前,Bitdefender 曾追蹤到一場長期行銷假「TradingView Premium」的廣告活動(Bitdefender Labs)。該活動始於 Facebook Ads,隨後擴散至 Google Ads 與 YouTube。到了 2026 年,同一批組織已捨棄「免費進階版」的提議,轉而販售假的 AI 工具。推銷話術改變了,但研究人員從這些活動中取得的檔案仍然投放竊資惡意軟體。

Malwarebytes 發現一個名為 TradingClaw 的網站,自稱是 TradingView 的 AI 助手(Malwarebytes)。該工具實際上安裝了 Needle Stealer,一個以 Go 程式語言撰寫的竊資程式。HP(NYSE: HPQ)另外發現一個位於 tradingclaw[.]pro 的假 AI 加密貨幣交易工具,將 Needle Stealer 藏在由 Microsoft(NASDAQ: MSFT)簽署的程式內。該數位簽章協助它繞過 Windows SmartScreen(Windows 內建的安全檢查)。程式碼簽章的作用是向作業系統確認程式的發布者,因此帶有有效簽章的檔案通常引發較少安全警告。一旦進入系統,該惡意軟體便會將受害者的瀏覽器錢包擴充功能替換為有害複本。

Needle Stealer 會蒐集瀏覽器歷史記錄、Cookie 與已儲存的登入資訊,並從 Telegram 等應用程式提取資料。它鎖定 Ledger、Trezor 與 Exodus 等桌面錢包,以及 MetaMask 與 Coinbase Wallet(Coinbase,NASDAQ: COIN)等瀏覽器錢包,企圖竊取種子片語——即可在另一台裝置重建錢包、並讓持有者完全掌控其資金的 recovery 字詞序列。HP 分析的樣本會搜尋七款瀏覽器錢包擴充功能,包括 Phantom,並擷取受害者在假解鎖畫面輸入的任何密碼。

資訊竊取感染持續攀升

Cryptopolitan 先前曾報導 Reaper,一個隱藏在假應用程式下載頁面背後的 Mac 竊資程式,一旦啟動便會攻擊 Ledger Live、Trezor Suite 與 Exodus(Cryptopolitan)。

Flashpoint 報告指出,2026 年上半年有 740 萬台裝置感染資訊竊取惡意軟體,較前六個月增加 27%,並且有 17 億組憑證遭竊。由於資訊竊取木馬會掃走瀏覽器儲存的所有內容,這類憑證竊取的影響範圍超出加密貨幣帳戶,涵蓋受害者儲存的任何登入資訊。Flashpoint 將 Vidar 排名為最常見的惡意軟體變種,高於 StealC 與 Lumma。Lumma 一直居於首位,直到 2025 年 5 月一項執法行動查扣約 2,300 個指揮與控制網域。Flashpoint 亦指出,Telegram 已成為散布這類工具的管道——而 Telegram 正是 Needle Stealer 所瞄準竊取資料的同一款應用程式。該平台如今同時處於威脅的兩端:既是竊資軟體的散布管道,也是它們入侵後收穫的目標。