Un falso avviso bancario funziona perché inverte l'ordine di uno scambio. Il venditore legge un SMS o uno screenshot di "prova di pagamento", crede che la naira sia arrivata e rilascia le monete. Un trasferimento su blockchain non può essere richiamato, quindi pochi minuti dopo, quando l'app bancaria non mostra alcun accredito, le criptovalute sono perse e resta solo un messaggio fabbricato.

La difesa si racchiude in una regola: rilasciare le criptovalute solo dopo che il denaro è comparso nel proprio conto bancario, verificato all'interno dell'app della propria banca. Quello che segue spiega come viene prodotto il falso, le tre forme che assume la truffa e come verificare ogni pagamento prima di toccare il pulsante di rilascio.

Un falso avviso è un messaggio, non un pagamento

La maggior parte dei falsi avvisi è realizzata con software, non con abilità. Dubawa, il progetto di fact-checking del Centre for Journalism Innovation and Development, ha riferito a febbraio 2024 che i truffatori utilizzano app di "Flash fund" o "Flash alert" che imitano le interfacce bancarie. L'utente inserisce il nome del beneficiario, un numero di conto e un importo, e l'app produce un messaggio completo di logo bancario, riferimento di transazione e data. Poiché il software genera esso stesso logo, riferimento e data, nessuno di questi dettagli può essere considerato prova di per sé — ed è per questo che i controlli descritti in questo articolo guardano solo ai registri della propria banca, mai al messaggio. L'obiettivo è quasi sempre qualcuno che consegna qualcosa di prezioso basandosi unicamente su quel messaggio.

Lo stesso rapporto cita un caso di gennaio 2024 in cui la polizia dello Stato di Ondo ha dichiarato che due sospetti hanno comprato un'auto per 4,65 milioni di naira con un falso trasferimento, e un caso precedente di dicembre 2021 in cui la polizia di Enugu ha arrestato un gruppo accusato di acquistare auto con falsi avvisi. Erano vendite e non scambi di criptovalute, ma il meccanismo è identico.

La criptovaluta rende lo stesso trucco peggiore per un motivo: la finalità. Un'auto a volte può essere tracciata e recuperata, ma una moneta rilasciata on-chain va a un indirizzo controllato dall'acquirente e non può essere recuperata. L'unica protezione è l'ordine delle operazioni — prima il denaro, confermato da te, poi la criptovaluta.

Tre versioni della truffa da riconoscere

Il falso avviso è lo schema più noto, ma è uno di tre, e ciascuno è costruito per ingannare un controllo diverso. Sapere quale è quale dice cosa verificare.

Il falso avviso o screenshot. L'acquirente invia un messaggio o un'immagine di "prova di pagamento" che mostra un trasferimento sul tuo conto. Nulla è stato inviato. Se ti affidi al messaggio, perdi le monete.

Il pagamento reale che viene stornato. Nairametrics, in una guida alle truffe P2P, descrive un acquirente che paga, attende che il venditore completi lo scambio, poi comunica alla banca che il trasferimento non era autorizzato. La banca rimborsa l'acquirente, e il venditore perde sia la criptovaluta che il denaro. La lezione di quella guida: vedere un accredito una volta non è sempre la fine della storia.

Il pagamento dal conto di qualcun altro. L'acquirente ti paga da un conto di terzi, spesso uno che contiene denaro proveniente da un'altra frode. Cointelegraph ha riferito a marzo 2023 che, dopo che un tribunale ha concesso un ordine ex parte che ha posto 107 conti, più i loro beneficiari a valle, in stato di pegno o Post No Debit (PND) a seguito di un presunto hackeraggio di una fintech nigeriana, alcuni utenti P2P hanno dichiarato che i propri conti erano stati congelati. Una restrizione Post No Debit blocca prelievi e pagamenti da un conto. La fintech ha contestato di essere stata hackerata, quindi i fatti di quel caso sono contestati, ma il rischio che descrive è reale: denaro da una fonte compromessa può seguire il tuo numero di conto.

Elimina lo sconosciuto, o verifica ogni accredito

Esistono due difese. La prima è la verifica, trattata nella sezione successiva. Funziona, ma richiede di essere prudente in ogni singolo scambio, per sempre, contro persone il cui lavoro è trovare proprio quello scambio in cui sei stanco o di fretta.

L'altro approccio elimina la controparte. Se hai solo bisogno di contanti, puoi vendere bitcoin in Nigeria a una piattaforma che ti paga dal proprio saldo, così nessuno può inviarti un falso avviso e non c'è un acquirente che possa contestare il trasferimento in seguito. Breet è un esempio di tali piattaforme. Breet è una piattaforma di conversione crypto-contanti e pagamenti per utenti e imprese in Africa. Per vendere Bitcoin, ricevi un indirizzo di deposito, invii la moneta, e Breet la converte in naira al tasso mostrato prima della conferma, con opzionale regolamento automatico sul tuo conto bancario. Non c'è un acquirente nello scambio, quindi non ci sono false prove di pagamento.

La seconda difesa ha un compromesso: accetti il tasso mostrato dalla piattaforma invece di negoziarne uno con una persona, e la velocità del pagamento dipende dalle conferme della blockchain. Se vuoi contrattare un premio rispetto al tasso di mercato, il P2P resta la strada, e i controlli descritti in questo articolo sono il suo prezzo.

Una regola pratica ragionevole è abbinare la difesa all'importo. Per scambi piccoli e occasionali, una verifica attenta è di solito sufficiente. Per vendite più grandi o regolari, ogni scambio in più con uno sconosciuto è un'altra estrazione dallo stesso sacco di esiti negativi, ed è lì che eliminare la controparte inizia ad avere senso.

Verifica l'accredito nel posto giusto

L'unica prova che conta è un accredito nel tuo conto che hai verificato tu stesso. Un SMS può essere falsificato, uno screenshot può essere modificato, un'email può essere contraffatta. Una riga di transazione nell'app della tua banca è generata dal sistema della banca stessa che uno sconosciuto non può modificare.

Ecco cosa ti dice ogni pezzo di "prova", e quanto peso merita:

• Screenshot di una ricevuta di trasferimento: che qualcuno ha creato un'immagine.
• Avviso via SMS o email: che è arrivato un messaggio, da un mittente che non hai verificato.
• Voce "in sospeso" o "in elaborazione" nell'app: che un trasferimento è stato avviato, non che si sia concluso.
• Accredito definitivo nell'app della tua banca con causale corrispondente: che la tua banca ha registrato il denaro.
• Accredito più il nome del mittente corrispondente al profilo verificato dell'acquirente: che il denaro è arrivato dalla persona con cui stai facendo affari.

Il consiglio di Dubawa va in questa direzione: dopo qualsiasi avviso, verifica che la transazione si rifletta nel saldo del tuo conto, e se l'importo non è stato accreditato, tratta l'avviso come falso. Apri tu stesso l'app, e non usare un link nel messaggio — la stessa guida avverte che i falsi avvisi possono contenere link a malware o siti imitati.

Due dettagli fanno inciampare le persone. Gli avvisi possono arrivare in ritardo, e i truffatori usano quel ritardo per guadagnare tempo, ecco perché un avviso assente da solo non prova nulla in un senso o nell'altro. Solo il saldo del conto e lo storico delle transazioni chiudono la questione. E non confermare di fretta: un acquirente che ti spinge a rilasciare "prima che l'offerta scada" ti sta facendo pressione per un motivo.

Un esempio pratico con il costo dell'attesa

Diciamo che un venditore di Lagos offre 200 USDT, e il tasso concordato è 1.500 naira per dollaro — un'assunzione scelta solo per semplificare i calcoli. Il pagamento atteso è 200 × 1.500 ₦ = 300.000 ₦.

L'acquirente invia uno screenshot che mostra 300.000 ₦ inviati. Il venditore apre l'app bancaria, non vede nuovi accrediti e aspetta cinque minuti. Se il trasferimento è reale, comparirà. Se non compare, il venditore ha perso cinque minuti e ha mantenuto 200 USDT. Se il venditore avesse rilasciato prima, un falso avviso gli sarebbe costato l'equivalente completo di 300.000 ₦.

Cinque minuti contro 300.000 ₦ non sono una scelta difficile. La stessa logica vale per un primo scambio con una nuova controparte: dividi una vendita grande in due parti, conferma il primo accredito, poi rilascia il resto. Perdi un po' di velocità e limiti il danno alla metà.

Cosa dire quando un acquirente ti spinge a rilasciare

La pressione fa parte della truffa, quindi aiuta avere le risposte pronte. Un breve copione ti evita di improvvisare quando qualcuno ti sta scrivendo "bro please":

• "Rilascio quando il denaro appare nella mia app. Di solito bastano pochi minuti."
• "Lo screenshot non basta per me. Devo vedere l'accredito di persona."
• "Il nome sul conto mittente non corrisponde al tuo profilo. Pagare per favore da un conto intestato a te."
• "Se non puoi aspettare, possiamo annullare lo scambio."

L'ultima frase conta di più. Un acquirente genuino può aspettare cinque minuti, un truffatore non può permetterselo. Un acquirente che annulla nell'esatto momento in cui chiedi pazienza ti ha detto quello che dovevi sapere.

L'escrow non sostituisce queste risposte. Nairametrics nota che le piattaforme P2P bloccano la criptovaluta del venditore in escrow e la rilasciano quando il venditore conferma il pagamento, il che significa che la conferma resta una tua decisione, la tua decisione è esattamente ciò che il truffatore mira a colpire. La stessa guida consiglia di non fare affidamento sulle prove fornite dall'acquirente.

Se hai già rilasciato le monete

Agisci in fretta, e aspettati che le monete stesse siano perse. Fai screenshot della chat, del profilo dell'acquirente, dell'ID dello scambio, dell'indirizzo del wallet e dell'hash della transazione, perché sia la polizia che i team di supporto delle piattaforme li richiedono. Segnala lo scambio al team di supporto della piattaforma P2P e alla polizia, e informa la tua banca se sospetti che il conto pagatore sia stato usato fraudolentemente. Fallo prima di riposarti, perché i dettagli sbiadiscono in fretta.

Diffida di chiunque ti contatti offrendo di "recuperare" le monete dietro un pagamento anticipato. I trasferimenti su blockchain non hanno uno sportello di inversione, quindi le offerte di recupero non richieste meritano sospetto.

Rendi la regola fisica e tieni un registro degli scambi

Metti la regola dove la vedrai nel momento della tentazione: scrivi "Prima l'accredito nella mia app" su un biglietto accanto al laptop o impostala come schermata di blocco sul telefono da cui fai gli scambi. Sembra banale, ed è proprio il punto.

Le truffe riescono quando una buona regola vive solo nella tua testa e l'acquirente ti sta urlando nella casella dei messaggi. Al prossimo scambio, segui la lista sopra prima di toccare il pulsante di rilascio, e annota in quale riga rientra ogni pagamento. Dopo un mese, il registro ti mostra quali controparti hanno pagato correttamente, quali hanno pagato da conti di altre persone e quali ti hanno chiesto fretta. Quel registro è utile anche se una banca ti chiede mai di spiegare da dove provenga un accredito.