Güvenlik araştırma firması SlowMist, sosyal platform X'te tanıtılan kötü amaçlı bir “kırılmış” TradingView Premium sürümü hakkında uyarı yayınladı. Ekim ortalarında başlayan kampanya, “cryptotrice” takma adıyla PowerShell tabanlı bir yükleyici dağıtarak Needle Stealer bilgi hırsızını gömüyor; bu program kripto cüzdanlarını boşaltabiliyor ve Telegram hesaplarını ele geçirebiliyor.

Sahte premium nasıl dağıtılıyor

SlowMist'e göre, sahte yükleyici TradingView'in ücretli hizmetine ücretsiz ya da indirimli bir yükseltme olarak tanıtılıyor. Kurbanlara, platformun “geliştirici sürümünü” indirecek gibi görünen bir PowerShell komutu çalıştırmaları talimatı veriliyor. Aslında script, Microsoft imzalı bir ikili dosya kullanarak Windows SmartScreen'i atlatabilen Go ile yazılmış Needle Stealer'ı indiriyor; bu durum Malwarebytes ve HP tarafından raporlandı.

Needle Stealer'ın yetenekleri

Zararlı yazılım, Ledger, Trezor ve Exodus gibi popüler masaüstü cüzdanların yanı sıra MetaMask, Coinbase Wallet ve Phantom gibi tarayıcı uzantılarından tarayıcı geçmişi, çerezler, kaydedilmiş oturumlar ve seed phrase'leri topluyor. Ayrıca Telegram kimlik bilgilerini yakalıyor ve yasal cüzdan uzantılarını kötü amaçlı kopyalarla değiştiriyor. Program, sahte bir kilit ekranında girilen tüm şifreleri kaydederek saldırganların kurbanın kripto varlıkları üzerinde tam kontrol sağlamasına olanak tanıyor.

Arka plan ve daha geniş tehdit ortamı

TradingView, bir yıldan uzun süredir “kırılmış” sürümler konusunda kullanıcıları uyarıyor ve şirketin böyle bir yazılım dağıtmadığını belirtiyor. Önceki dolandırıcılıkların içinde, kullanıcıları kötü amaçlı indirmelere yönlendiren sahte YouTube kanalları bulunuyordu. Bitdefender tarafından izlenen son bir reklam kampanyası, Facebook ve Google reklamlarından sahte AI araçlarını tanıtan sitelere, örneğin Needle Stealer'ı da paketleyen TradingClaw sitesine yönlendiriyordu. Flashpoint verileri, 2026'nın ilk yarısında bilgi hırsızı enfeksiyonlarının %27 artarak 7,4 milyon cihazın etkilendiğini ve 1,7 milyar kimlik bilgisinin çalındığını gösteriyor.

İleride neler izlenmeli

Güvenlik araştırmacıları, saldırganların dağıtım zincirini geliştirerek daha fazla sosyal platform ve derinlemesine kimlik avı kampanyaları kullanabileceğini öngörüyor. Kullanıcılar resmi TradingView duyurularını izlemeli, indirme kaynaklarını doğrulamalı ve güçlü parola korumalı donanım cüzdanları kullanmalıdır. SlowMist ve diğer firmalar, yeni savunma önlemlerine uyum sağlayan ilgili zararlı yazılım varyantlarını izlemeye devam edecektir.