Une fausse alerte bancaire fonctionne parce qu'elle inverse l'ordre d'une transaction. Le vendeur lit un SMS ou une capture d'écran « preuve de paiement », croit que les naira sont arrivés et libère les coins. Un transfert blockchain ne peut être rappelé, donc quelques minutes plus tard, quand l'application bancaire n'affiche aucun crédit, la crypto a disparu et il ne reste qu'un message fabriqué.

La défense tient en une règle : ne libérer la crypto qu'après que l'argent apparaisse sur votre propre compte bancaire, vérifié dans l'application de votre banque. Ce qui suit explique comment la falsification est produite, les trois formes que prend l'escroquerie, et comment tester chaque paiement avant de toucher au bouton de libération.

Une fausse alerte est un message, pas un paiement

La plupart des fausses alertes sont fabriquées avec des logiciels, pas avec de l'habileté. Dubawa, le projet de fact-checking du Centre for Journalism Innovation and Development, rapportait en février 2024 que les escrocs utilisent des applications « Flash fund » ou « Flash alert » qui imitent les interfaces bancaires. L'utilisateur saisit un nom de bénéficiaire, un numéro de compte et un montant, et l'application produit un message complet avec un logo de banque, une référence de transaction et une date. Comme le logiciel remplit lui-même le logo, la référence et la date, aucun de ces détails ne peut être lu comme une preuve à lui seul — c'est pourquoi les vérifications de cet article ne s'appuient que sur les registres de votre propre banque, jamais sur le message. La cible est presque toujours quelqu'un qui remet quelque chose de valeur sur la foi de ce seul message.

Le même rapport cite une affaire de janvier 2024 dans laquelle la police de l'État d'Ondo a indiqué que deux suspects avaient acheté une voiture pour 4,65 millions de naira avec un faux transfert, et une affaire antérieure de décembre 2021 dans laquelle la police d'Enugu avait arrêté un groupe accusé d'acheter des voitures avec de fausses alertes. Il s'agissait de ventes et non de transactions crypto, mais le mécanisme est identique.

La cryptomonnaie aggrave le même procédé pour une raison : la finalité. Une voiture peut parfois être retracée et récupérée, mais un coin libéré on-chain va vers une adresse contrôlée par l'acheteur et ne peut être récup. La seule protection est l'ordre des opérations — d'abord l'argent, confirmé par vous, ensuite la crypto.

Trois versions de l'escroquerie à reconnaître

La fausse alerte est le schéma le plus connu, mais elle n'est que l'un des trois, et chacun est conçu pour tromper une vérification différente. Savoir lequel est lequel vous dit quoi vérifier.

La fausse alerte ou la capture d'écran. L'acheteur envoie un message ou une image « preuve de paiement » montrant un transfert vers votre compte. Rien n'a été envoyé. Si vous vous fiez au message, vous perdez les coins.

Le paiement réel qui est ensuite contesté. Nairametrics, dans un guide sur les escroqueries P2P, décrit un acheteur qui paie, attend que le vendeur termine la transaction, puis déclare à la banque que le transfert n'était pas autorisé. La banque rembourse l'acheteur, et le vendeur perd à la fois la crypto et l'argent. La leçon de ce guide : voir un crédit une fois ne clôt pas toujours l'histoire.

Le paiement depuis le compte de quelqu'un d'autre. L'acheteur vous paie depuis le compte d'un tiers, souvent un compte détenant des fonds provenant d'une autre fraude. Cointelegraph rapportait en mars 2023 qu'après qu'un tribunal a accordé une ordonnance ex parte plaçant 107 comptes, ainsi que leurs bénéficiaires en aval, sous lien ou statut Post No Debit (PND) suite à un piratage allégué d'une fintech nigériane, certains utilisateurs P2P ont dit que leurs propres comptes avaient été gelés. Une restriction Post No Debit bloque les retraits et les paiements depuis un compte. La fintech a contesté avoir été piratée, donc les faits de cette affaire sont disputés, mais le risque qu'elle décrit est réel : l'argent d'une source entachée peut suivre votre numéro de compte.

Éliminer l'inconnu, ou tester chaque crédit

Deux défenses existent. La première est la vérification, traitée dans la section suivante. Elle fonctionne, mais elle vous demande d'être vigilant à chaque transaction, pour toujours, face à des personnes dont le métier est de trouver la transaction où vous êtes fatigué ou pressé.

L'autre approche supprime la contrepartie. Si vous n'avez besoin que d'espèces, vous pouvez vendre du bitcoin au Nigeria à une plateforme qui vous paie depuis son propre solde, de sorte que personne ne peut vous envoyer une fausse alerte et qu'il n'y a pas d'acheteur pour contester le transfert ensuite. Breet est un exemple de telles plateformes. Breet est une plateforme de conversion crypto-vers-espèces et de paiements pour les utilisateurs et les entreprises en Afrique. Pour vendre du Bitcoin, vous obtenez une adresse de dépôt, vous envoyez le coin, et Breet le convertit en naira au taux affiché avant votre confirmation, avec un règlement automatique optionnel vers votre compte bancaire. Il n'y a pas d'acheteur dans la transaction, donc pas de fausses preuves de paiement.

La seconde défense a un compromis : vous acceptez le taux affiché par la plateforme au lieu de négocier avec une personne, et la vitesse de paiement dépend des confirmations blockchain. Si vous voulez marchander une prime au-dessus du taux du marché, le P2P reste la voie, et les vérifications de cet article en sont le prix.

Une règle raisonnable consiste à adapter la défense au montant. Pour de petites transactions occasionnelles, une vérification soigneuse suffit généralement. Pour des ventes plus importantes ou régulières, chaque transaction supplémentaire avec un inconnu est un tirage de plus dans le même sac de mauvais résultats, et c'est là que supprimer la contrepartie commence à avoir du sens.

Vérifier le crédit au bon endroit

La seule preuve qui compte est un crédit sur votre propre compte que vous avez consulté vous-même. Un SMS peut être usurpé, une capture d'écran peut être modifiée, et un e-mail peut être falsifié. Une ligne de transaction dans l'application de votre banque est générée par le propre système de la banque, qu'un inconnu ne peut modifier.

Voici ce que chaque élément de « preuve » vous indique, et le poids qu'il mérite :

• Capture d'écran d'un reçu de transfert : que quelqu'un a fabriqué une image.
• e SMS ou e-mail : qu'un message est arrivé, d'un expéditeur que vous n'avez pas vérifié.
• Entrée « en attente » ou « en cours » dans l'application : qu'un transfert a été initié, pas qu'il a été réglé.
• Crédit réglé dans l'application de votre banque avec un libellé correspondant : que votre banque a enregistré l'argent.
• Crédit plus le nom de l'expéditeur correspondant au profil vérifié de l'acheteur : que l'argent vient de la personne avec qui vous tradez.

Le conseil de Dubawa va dans ce sens : après toute alerte, vérifiez que la transaction se reflète dans le solde de votre compte, et si le montant n'est pas crédité, considérez l'alerte comme fausse. Ouvrez vous-même l'application, et n'utilisez pas de lien dans le message — le même guide avertit que les fausses alertes peuvent contenir des liens vers des logiciels malveillants ou des sites d'imitation.

Deux détails font trébucher les gens. Les alertes peuvent arriver en retard, et les escrocs utilisent ce délai pour gagner du temps, c'est pourquoi une alerte absente à elle seule ne prouve rien dans un sens ni dans l'autre. Seuls le solde du compte et l'historique des transactions tranchent la question. Et ne confirmez pas à la hâte : un acheteur qui vous presse de libérer « avant que l'offre n'expire » applique une pression pour une raison.

Un exemple concret avec le coût de l'attente

Supposons qu'un vendeur à Lagos propose 200 USDT, et que le taux convenu soit de 1 500 naira par dollar — une hypothèse choisie uniquement pour simplifier le calcul. Le paiement attendu est 200 × 1 500 naira = 300 000 naira.

L'acheteur envoie une capture d'écran montrant 300 000 naira envoyés. Le vendeur ouvre l'application bancaire, ne voit aucun nouveau crédit, et attend cinq minutes. Si le transfert est réel, il apparaîtra. S'il n'apparaît pas, le vendeur a perdu cinq minutes et gardé 200 USDT. S'il avait libéré d'abord, une fausse alerte lui aurait coûté l'équivalent complet des 300 000 naira.

Cinq minutes contre 300 000 naira n'est pas un choix difficile. La même logique s'applique à une première transaction avec une nouvelle contrepartie : divisez une grande vente en deux parties, confirmez le premier crédit, puis libérez le reste. Vous perdez un peu de vitesse et vous plafonnez le dommage à la moitié.

Que dire quand un acheteur vous presse de libérer

La pression fait partie de l'escroquerie, donc il est utile d'avoir des réponses prêtes. Un petit script vous évite d'improviser quand quelqu'un vous écrit « bro please » :

• « Je libère quand l'argent apparaît dans mon application. Cela prend généralement quelques minutes. »
• « La capture d'écran ne me suffit pas. Je dois voir le crédit moi-même. »
• « Le nom sur le compte émetteur ne correspond pas à votre profil. Veuillez payer depuis un compte à votre propre nom. »
• « Si vous ne pouvez pas attendre, nous pouvons annuler la transaction. »

La dernière phrase compte le plus. Un acheteur sincère peut attendre cinq minutes, et un fraudeur ne peut se le permettre. Un acheteur qui annule dès que vous demandez de la patience vous a dit ce que vous av besoin de savoir.

L'escrow ne remplace pas ces réponses. Nairametrics note que les plateformes P2P verrouillent la crypto du vendeur en escrow et la libèrent quand le vendeur confirme le paiement, ce qui signifie que la confirmation reste votre décision, et votre décision est précisément ce que l'escroc vise. Le même guide conseille de ne pas vous fier aux preuves fournies par l'acheteur.

Si vous avez déjà libéré les coins

Agissez vite, et attendez-vous à ce que les coins eux-mêmes soient perdus. Faites des captures d'écran de la conversation, du profil de l'acheteur, de l'identifiant de transaction, de l'adresse du portefeuille et du hash de transaction, car la police et les équipes de support des plate les demandent tous les deux.

Signalez la transaction à l'équipe de support de la plateforme P2P et à la police, et informez votre banque si vous soupçonnez que le compte payeur a été utilisé frauduleusement.

Faites-le avant de vous reposer, car les détails s'estompent vite. Méfiez-vous de quiconque vous contacte pour « récupérer » les coins contre des frais payés d'avance. Les transferts blockchain n'ont pas de service d'annulation, donc les offres de récupération non sollicitées méritent la suspicion.

Rendre la règle physique et tenir un journal des transactions

Placez la règle là où vous la verrez au moment de la tentation : écrivez « Crédit dans mon application d'abord » sur une carte à côté de votre ordinateur portable ou définissez-le comme écran de verrouillage du téléphone depuis lequel vous tradez. Cela paraît trivial, et c'est le but. Les escroqueries réussissent quand une bonne règle ne vit que dans votre tête pendant que l'acheteur hurle dans votre boîte de réception.

À la prochaine transaction, parcourez la liste ci-dessus avant de toucher le bouton de libération, et notez dans quelle catégorie chaque paiement est tombé. Après un mois, le journal vous montre quelles contreparties ont payé proprement, lesquelles ont payé depuis les comptes d'autres personnes, et lesquelles vous ont demandé de vous presser. Ce registre est également utile si une banque vous demande un jour d'expliquer la provenance d'un crédit.