SlowMist предупредила о фейковом взломанном TradingView, крадущем кошельки и данные Telegram

Компания по кибербезопасности SlowMist сообщает, что аккаунт в X распространяет вредоносное ПО для кражи криптовалют через поддельную «взломанную» версию TradingView Premium.

По данным SlowMist, этот тип мошенничества действует уже около 18 месяцев и направлен на кражу приватных ключей, данных входа в браузеры и сеансов мессенджеров.

Кто стоит за поддельным взломом TradingView?

Компания по безопасности SlowMist предупредила что аккаунт в X с ником «cryptotrice» с середины октября распространяет поддельную «взломанную» версию TradingView Premium. Компания заявила, что программное обеспечение содержит инфостилер. Оно также может опустошать криптокошельки и захватывать аккаунты Telegram.

TradingView — это сайт, который трейдеры используют для просмотра графиков и анализа рынка. Компания предупреждает пользователей о мошенничестве с «взломанными» версиями уже более года. Она также уточнила, что не продаёт взломанные версии своего программного обеспечения. В 2025 году мошенники создали фальшивые каналы на YouTube который выдавал себя за его официальный аккаунт.

Цель этих каналов заключалась в том, чтобы направить неопытных пользователей на «версию для разработчиков» или «взломанную версию» приложения TradingView. 

Кнопка «Скачать» для так называемой версии для разработчиков на самом деле была командой PowerShell, которая устанавливала троян удалённого доступа и затем опустошала кошельки жертв. TradingView заявляет, что никогда не просит пользователей запускать скрипты командной строки для установки своего программного обеспечения.

Почему эти мошеннические схемы продолжают возвращаться?

До предупреждения SlowMist Bitdefender отследил длительную рекламную кампанию которая продвигала поддельный «TradingView Premium». Она началась с рекламы Facebook, а позже распространилась на Google Ads и YouTube.

К 2026 году те же группы отказались от предложений «бесплатного премиума» и начали продавать поддельные инструменты на базе ИИ. Malwarebytes обнаружила сайт под названием TradingClaw, который утверждал, что является помощником на основе ИИ для TradingView. 

На самом деле этот инструмент устанавливал Needle Stealer — программу для кражи данных, написанную на языке программирования Go. HP (NYSE: HPQ) обнаружила поддельный крипто-торговый инструмент на базе ИИ по адресу tradingclaw[.]pro, который скрывал Needle Stealer внутри программы, подписанной Microsoft (NASDAQ: MSFT). 

Это помогло ему обойти проверку Windows SmartScreen — встроенную функцию безопасности Windows, и, оказавшись внутри системы, вредоносное ПО заменил расширение кошелька браузера жертвы на вредоносную копию.

Needle Stealer собирает историю браузера, файлы cookie и сохранённые учётные данные. Он также извлекает данные из таких приложений, как Telegram. Злоумышленники целенаправленно атакуют настольные кошельки, такие как Ledger, Trezor и Exodus, а также браузерные кошельки, включая MetaMask и Coinbase Wallet (Coinbase, NASDAQ: COIN), пытаясь украсть сид-фразы. 

Вредоносное ПО, обнаруженное HP, искажало семь расширений браузерных кошельков, включая Phantom. Оно также перехватывало любые пароли, которые жертва вводила на поддельном экране разблокировки. 

Команда Rust сказала, что не считает, что автор действовал злонамеренно, оценивая вместо этого, что их машина или учетные данные были скомпрометированы. Cryptopolitan ранее сообщал на Mac-программу для кражи данных под названием Reaper. Программа скрывалась за фальшивыми страницами загрузки приложений и, активировавшись, атаковала Ledger Live, Trezor Suite и Exodus.

По данным Flashpoint, в первой половине 2026 года 7,4 миллиона устройств были заражены инфостилерами. Это на 27% больше, чем за предыдущие шесть месяцев. Также было украдено 1,7 миллиарда учётных данных. 

Flashpoint поставил Vidar на первое место среди StealC и Lumma по распространённости вариантов вредоносного ПО. Lumma лидировал до правоохранительной операции в мае 2025 года, в ходе которой было изъято около 2300 доменов командно-контрольных серверов. 

Flashpoint также отметил, что Telegram стал средством распространения подобных инструментов, и именно это приложение используется для кражи данных с помощью Needle Stealer.