5万星逆向版TradingView Premium被强制转私有,破解版实为恶意软件

导语:X 用户 @cryptotrice 10 月 14 日发文称,一个名为 “Reverse-engineered TradingView Premium” 的开源项目在数周内冲到 49.1k stars、51k Discord 成员后被强制转私有,理由是 TradingView 主动向 GitHub 施压要求下架。Bitdefender 与 Hexastrike Cybersecurity 都警告,所谓”TradingView Premium 破解版”在过去一年一直是 Vidar(Windows)与 AMOS(macOS)等窃密木马的常见分发渠道。

项目 README 自称是 TradingView Premium 的开源逆向版本,4.9 万 stars、13.7 万 downloads、MIT 协议

一、事件:几周冲到 5 万星,然后被转私有

10 月 14 日,加密行业 KOL @cryptotrice 在 X 上发文:”TradingView just got reverse-engineered. Reverse-engineered TradingView Premium just hit 49.1k stars on a private GitHub repo and 51k members on Discord in a matter of weeks. The devs announced that the project is going private because of insane traffic. You can only access GitHub and Discord through the local apps for Windows and Mac.”

回看 cryptotrice 过去两周的连续报道,曝光路径大致是:9 月底首次出现(4.13 万 stars,被包装成”TradingView is going out of business”);10 月初 4.2 万 stars、Discord 接近 2.5 万,被表述为”TradingView gets too greedy”;10 月 8 日 GitHub trending 一度排到第 3(3k stars),项目方主动转私有一次,理由是”TradingView was actively trying to take down the repo”;10 月 14 日再次曝光,数据已到 49.1k stars、51k Discord,这次主因变成”insane traffic”。

二、项目自述:逆向 + 完全开源 + AI 代理支持

从 cryptotrice 视频里展示的 GitHub 页面看,这个项目的自述很直接——”Reverse-engineered TradingView Premium is a free, open-source version of TradingView with identical features, including real-time data and multiple watchlists, plus its own marketplace, crypto payouts, and support for AI agents like Claude, Grok, and others.”

README 顶部列出标签:algorithmic-trading、trading、tradingview、cryptocurrency、tradingview-premium、python、telegram-bot、trade、trading-bot。License 是 MIT,Downloads 13.7 万+,赞助方写着 Claude。

GitHub 侧栏:4.91 万 stars、964 watching、1.53 万 forks、118 个 Releases,最新版 3.3.0

侧栏数据:4.91 万 stars、964 watching、1.53 万 forks、118 个 Releases,最新版 3.3.0(2 周前发布)。Used by 140(+130),Contributors 343(+329),主语言 Python 98.5%、Jinja 0.7%。

Used by 140、Contributors 343、Python 98.5% — 活跃的项目体量,却建立在合规灰区上

按 cryptotrice 的描述,5 万 stars、15k forks、118 个 release 的体量在 GitHub 上已经是 Top 0.01% 级别。短时间内聚集这么大流量,本身就是新闻;但同体量下”项目转私有 + 被原厂点名”,让它的可访问性迅速变成灰色地带。

三、技术现实:TradingView 是云服务,所谓”客户端”是 Web App

要理解这件事的争议性,得先看 TradingView 的产品形态。Reddit r/TradingView 板块的官方答复:”TradingView sells a cloud service, not a standalone binary. You are not supposed to modify what they provide on the client side, whether by patching their software, tampering with Chrome, or ‘reverse-engineering’ their proprietary browser.”

也就是说,TradingView 卖的是云端图表与社交服务,用户看到的所有”客户端”——网页、桌面应用、移动 App——本质都是调用 TradingView 后端 API 的壳。从 Python 98.5% 的技术栈、Tags 里的 telegram-bot、README 提到的”AI agents”看,这个项目更像用 Python 重新实现了一套对 TradingView 数据与下单接口的封装。

无论走哪条路,这都明确违反 TradingView 的服务条款。法律上,美国《数字千年版权法》(DMCA)、欧盟《信息社会版权指令》(InfoSoc)都对绕过技术保护措施有明文禁止;”逆向工程”作为抗辩理由在大部分司法辖区仅在”互操作””安全研究”等极窄场景下成立,而”做一个免费的等价物”显然不在豁免范围内。

四、安全风险:这类”破解版”长期是 Vidar、AMOS 的投递渠道

更值得警觉的是,抛开法律与版权,所谓”TradingView Premium 破解版”在供应链里已经被多个安全厂商盯上。

2026 年 4 月,Hexastrike Cybersecurity 发布报告《Reddit TradingView Lures Leading to Vidar and AMOS Stealers》,记录了一组持续一年以上的攻击活动:威胁行为人在多个 subreddit(包括 r/BitBullito、r/CryptoCurrencyDM、r/ForexWinchester、r/FXPulse、r/GitHub_Source)用”TradingView Premium Free””TradingView Premium Lifetime Edition”等标题发帖,声称提供”fully unlocked and reverse engineered version of TradingView”,附 ZIP 或 DMG 下载链接。

报告的取证细节显示,Windows 端投递的是 Vidar 窃密木马:压缩包膨胀到 700 MB 以上以逃避病毒扫描,内部是被切碎再用 .gif 伪装的载荷,运行时由自解压 cabinet 释放出混淆的批处理脚本,把 .gif 碎片重组成 Vidar 可执行文件。Vidar 是地下论坛常见的商品化窃密木马,目标是浏览器凭据、自动填充、Cookie 数据库、加密钱包文件、本地应用 token。macOS 端投递的是 AMOS(AKA Atomic macOS Stealer):DMG 镜像伪装成官方安装器样式,内含 Mach-O 通用二进制,运行时调用 dscl . authonly 静默解锁 Keychain,再把浏览器凭据、加密钱包、Keychain 数据外传。Bitdefender Labs 2025 年的《The scam that won’t quit》也独立记录过同一类投递路径——从 Meta、Google、YouTube 买量,落地到类似的”TradingView Premium 破解版”下载页。

五、另一个层面:5 万 stars 不等于合法

这个项目的尴尬之处在于,表面工程化程度高:有 4.9 万 stars、343 个贡献者、118 个 release、版本号 3.3.0、明确 MIT 协议、明确把代码放在 GitHub 上供审计。看上去比 Telegram 频道里、签名都没法核对的破解版可信得多。

但 GitHub 上 stars、forks、contributors 这些数字,衡量的是”开发者社区的兴趣”,不是”该产品在版权与合规上的合法地位”。DMCA 不在乎你有多少 stars,在 Telegram 或暗网里分发 VMP 保护的 TradingView Premium 客户端是侵权,在 GitHub 上以 MIT 协议发布一个能替代原产品、绕开授权校验的 Python 复刻,同样可能构成侵权——前提是原厂能证明其中包含了从原产品中复制的代码、API 调用细节或被绕过保护措施的”实质部分”。TradingView 公司主动向 GitHub 提下架请求,GitHub 的处理是让项目方”自己转私有”而不是直接删库,既避免了明面法律冲突,又让原厂失去了继续公开打击的着力点。但转私有之后,真正在私下能访问到这份代码的人,会比公开时更多。

六、结语

对普通用户来说,这件事的启示不是”该不该用破解版”,而是:Trending #3 的 GitHub 项目不一定合规,stars 不等于合法性;真正想研究 TradingView 数据接口,走官方开放的 REST/WebSocket API 与 Pine Script 比走逆向省事得多;在 Reddit、Discord、Telegram 看到任何”破解版”下载链接,Bitdefender 与 Hexastrike 的报告已经反复说明,这类投递目前几乎是 Vidar/AMOS 的固定渠道。

对安全研究者来说,这个事件提供了一个值得追踪的样本:一个 5 万 stars 的”开源逆向项目”在法律压力与流量压力双重作用下转私有,后续若重新出现,要么是镜像、要么是仿冒、要么是挂着同样名字的挂马包——这三类都会借用原项目的 SEO 关键词,所以原项目的报道本身就是识别后续仿冒的关键参考。

参考来源: