La firma de investigación en seguridad SlowMist ha emitido una advertencia sobre una versión «crackeada» maliciosa de TradingView Premium que se promociona en la plataforma social X. La campaña, que comenzó a mediados de octubre, utiliza el identificador «cryptotrice» para distribuir un instalador basado en PowerShell que incrusta el infostealer Needle Stealer, un programa capaz de vaciar carteras cripto y secuestrar cuentas de Telegram.

Cómo se entrega el premium falso

Según SlowMist, el instalador fraudulento se anuncia como una mejora gratuita o con descuento al servicio de pago de TradingView. A las víctimas se les instruye ejecutar un comando de PowerShell que parece descargar la «versión de desarrollador» de la plataforma. En realidad, el script descarga Needle Stealer, una herramienta de robo de datos escrita en Go que puede eludir Windows SmartScreen utilizando un binario firmado por Microsoft, según informaron Malwarebytes y HP.

Capacidades de Needle Stealer

El malware recopila el historial del navegador, cookies, inicios de sesión guardados y frases semilla de populares carteras de escritorio como Ledger, Trezor y Exodus, así como extensiones del navegador que incluyen MetaMask, Coinbase Wallet y Phantom. También captura credenciales de Telegram y puede reemplazar extensiones de cartera legítimas con copias maliciosas. El programa registra cualquier contraseña ingresada en una pantalla de desbloqueo falsa, otorgando a los atacantes el control total sobre los activos cripto de la víctima.

Antecedentes y panorama de amenazas más amplio

TradingView ha advertido a los usuarios sobre versiones «crackeadas» durante más de un año, señalando que la empresa nunca distribuye dicho software. Estafas anteriores involucraron falsos canales de YouTube que redirigían a los usuarios a descargas maliciosas. Una reciente campaña publicitaria rastreada por Bitdefender pasó de anuncios de Facebook y Google a promocionar falsas herramientas de IA, como un sitio llamado TradingClaw que también incluía Needle Stealer. Los datos de Flashpoint muestran que las infecciones por infostealers aumentaron un 27% en el primer semestre de 2026, con 7,4 millones de dispositivos comprometidos y 1.700 millones de credenciales robadas.

Qué observar a continuación

Los investigadores de seguridad esperan que los atacantes evolucionen la cadena de distribución, aprovechando potencialmente más plataformas sociales y campañas de phishing más profundas. Los usuarios deben monitorear las comunicaciones oficiales de TradingView, verificar las fuentes de descarga y emplear carteras de hardware con protección mediante frases de contraseña robustas. SlowMist y otras firmas probablemente continuarán rastreando variantes relacionadas del malware a medida que se adapten a nuevas medidas defensivas.