Een vervalste bankalert werkt omdat de volgorde van een transactie wordt omgedraaid. De verkoper leest een sms of een screenshot als 'bewijs van betaling', gelooft dat de naira is aangekomen en geeft de munten vrij. Een blockchain-transactie kan niet worden teruggehaald, dus minuten later, wanneer de banking-app geen bijschrijving toont, is de crypto weg en resteert slechts een vervalst bericht.

De verdediging past in één regel: geef crypto pas vrij nadat het geld in je eigen bankrekening is verschenen, gecontroleerd in de app van je eigen bank. Hieronder wordt uitgelegd hoe de vervalsing wordt gemaakt, welke drie vormen de oplichting aanneemt en hoe je elke betaling test voordat je de vrijgaveknop aanraakt.

Een nep-alert is een bericht, geen betaling

De meeste vervalste alerts worden gemaakt met software, niet met vaardigheid. Dubawa, het fact-checkingproject van het Centre for Journalism Innovation and Development, meldde in februari 2024 dat oplichters 'Flash fund'- of 'Flash alert'-apps gebruiken die bankinterfaces nabootsen. De gebruiker typt een naam van de ontvanger, een rekeningnummer en een bedrag in, en de app produceert een bericht compleet met banklogo, transactiereferentie en datum. Omdat de software zelf het logo, de referentie en de datum invult, kan geen van die details als zelfstandig bewijs worden gelezen — daarom kijken de controles in dit artikel alleen naar de eigen administratie van je bank, nooit naar het bericht. Het doelwit is bijna altijd iemand die iets waardevols overhandigt op basis van dat bericht alleen.

Hetzelfde rapport noemt een zaak uit januari 2024 waarin de politie van Ondo State meldde twee verdachten een auto kochten voor ₦4,65 miljoen met een valse overschrijving, en een eerdere zaak uit december 2021 waarin de politie van Enugu een groep arresteerde die ervan werd beschuldigd auto's te hebben gekocht met nep-alerts. Dat waren verkopen en geen cryptotransacties, maar het mechanisme is identiek.

Cryptocurrency maakt dezelfde truc erger om één reden: finaliteit. Een auto kan soms worden getraceerd en teruggevonden, maar een on-chain vrijgegeven munt gaat naar een adres dat de koper beheert en kan niet worden teruggehaald. De enige bescherming is de volgorde van handelen — eerst geld, door jou bevestigd, dan crypto.

Drie varianten van de oplichting om te herkennen

De vervalste alert is het bekendste patroon, maar het is er één van drie, en elke variant is gebouwd om een andere controle te misleiden. Weten welke het is, vertelt je wat je moet verifiëren.

De vervalste alert of screenshot. De koper stuurt een bericht of een afbeelding als 'bewijs van betaling' met een overschrijving naar jouw rekening. Er is niets gestuurd. Als je op het bericht vertrouwt, verlies je de munten.

De echte betaling die wordt teruggedraaid. Nairametrics beschrijft in een gids over P2P-oplichting een koper die betaalt, wacht tot de verkoper de transactie afrondt en vertelt de bank vervolgens dat de overschrijving niet was geautoriseerd. De bank betaalt de koper terug, en de verkoper verliest zowel de crypto als het geld. De les uit die gids: een bijschrijving een keer zien is niet altijd het einde van het verhaal.

De betaling vanaf iemand anders zijn rekening. De koper betaalt je vanaf de rekening van een derde partij, vaak een rekening met geld uit andere fraude. Cointelegraph meldde in maart 2023 dat nadat een rechtbank een ex parte-order had verleend die 107 rekeningen, plus hun downstream begunstigden, onder lien of Post No Debit (PND)-status plaatste na een vermeende hack van een Nigeriale fintech, sommige P2P-gebruikers zeiden dat hun eigen rekeningen waren bevroren. Een Post No Debit-beperking blokkeert opnames en betalingen vanaf een rekening. De fintech betwistte dat het was gehackt, dus de feiten in die zaak zijn omstreden, maar het risico dat wordt beschreven is echt: geld uit een besmette bron kan je rekeningnummer volgen.

Haal de vreemde eruit, of test elke bijschrijving

Er bestaan twee verdedigingen. De eerste is verificatie, behandeld in de volgende sectie. Die werkt, maar vraagt je om bij elke enkele transactie voorzichtig te zijn, voor altijd, tegenover mensen wier werk het is om die ene transactie te vinden waar je moe bent haast hebt.

De andere aanpak verwijdert de tegenpartij. Als je alleen contant geld nodig hebt, kun je bitcoin in Nigeria verkopen aan een platform dat uit zijn eigen saldo betaalt, zodat niemand je een vervalste alert kan sturen en er geen koper is die de overschrijving later kan betwisten. Breet is een voorbeeld van zulke platforms. Breet is een crypto-naar-contant-geld- en betalingsplatform voor gebruikers en bedrijven in Afrika. Om Bitcoin te verkopen, krijg je een stortingsadres, stuurt je de munt, en Breet converteert deze naar naira tegen de koers die wordt getoond voordat je bevestigt, met optionele automatische afrekening naar je bankrekening. Er is geen koper in de transactie, dus er zijn geen valse betalingsbewijzen.

De tweede verdediging heeft een afweging: je accepteert de getoonde koers van het platform in plaats van er één te onderhandelen met een persoon, en de uitbetalingssnelheid hangt af van blockchainbevestigingen. Als je wilt afdingen op een premie boven de marktkoers, is P2P nog steeds de route, en zijn de controles in dit artikel de prijs daarvan.

Een redelijke vuistregel is om de verdediging op het bedrag af te stemmen. Voor kleine, incidentele transacties is zorgvuldige verificatie meestal voldoende. Voor grotere of regelmatige verkopen is elke extra transactie met een vreemde nog een trekking uit dezelfde zak met slechte uitkomsten, en daar begint het wegnemen van de tegenpartij zin te krijgen.

Controleer de bijschrijving op de juiste plek

Het enige bewijs dat telt, is een bijschrijving in je eigen rekening die je zelf hebt opgezocht. Een sms kan worden gespoofd, een screenshot kan worden bewerkt en een e-mail kan worden vervalst. Een transactieregel in de app van je bank wordt gegenereerd door het eigen systeem van de bank, dat een vreemde niet kan bewerken.

Dit is wat elk stuk 'bewijs' je vertelt, en hoeveel gewicht het verdient:

• Screenshot van een overschrijvingsbewijs: dat iemand een afbeelding heeft gemaakt.
• Sms- of e-mailalert: dat een bericht is aangekomen, van een afzender die je niet hebt geverifieerd.
• 'In behandeling'- of 'verwerking'-item in de app: dat een overschrijving is gestart, niet dat deze is afgerond.
• Definitieve bijschrijving in je bank-app met een overeenkomstige omschrijving: dat je bank het geld heeft geregistreerd.
• Bijschrijving plus de naam van de afzender die overeenkomt met het geverifieerde profiel van de koper: dat het geld kwam van de persoon met wie je handelt.

Het advies van Dubawa sluit hierbij aan: controleer na elke alert of de transactie in je rekeningsaldo is weerspiegeld, en als het bedrag niet is bijgeschreven, behandel de alert dan als nep. Open de app zelf, en gebruik geen in het bericht — dezelfde gids waarschuwt dat nep-alerts links kunnen bevatten naar malware of imitatiesites.

Twee details zorgen voor verwarring. Alerts kunnen laat aankomen, en oplichters gebruiken dat gat om tijd te winnen, waardoor een ontbrekende alert op zichzelf niets bewijst. Alleen het rekeningsaldo en de transactiehistorie beslechten de kwestie. En bevestig niet in haast: een koper die je dringt te vrijgeven 'voordat het aanbod verstrijkt', oefent met reden druk uit.

Een rekenvoorbeeld met de kosten van wachten

stel dat een verkoper in Lagos 200 USDT aanbiedt en de overeengekomen koers ₦1.500 per dollar is — een aanname die alleen is gekozen om het rekenen eenvoudig te houden. De verwachte betaling is 200 × ₦1.500 = ₦300.000.

De koper stuurt een screenshot waarop ₦300.000 is verzonden. De verkoper opent de banking-app, ziet geen nieuwe bijschrijving en wacht vijf minuten. Als de overschrijving echt is, verschijnt hij. Zo niet, dan heeft de verkoper vijf minuten verloren en 200 USDT behouden. Had de verkoper eerst vrijgegeven, dan zou een vervalste alert het volledige equivalent van ₦300.000 hebben gekost.

Vijf minuten tegen ₦300.000 is geen moeilijke afweging. Dezelfde logica geldt voor een eerste transactie met een nieuwe tegenpartij: splits een grote verkoop in twee delen, bevestig de eerste bijschrijving en geef daarna de rest vrij. Je verliest iets snelheid en beperkt de schade tot de helft.

Wat te zeggen als een koper je dwingt vrij te geven

Druk is onderdeel van de oplichting, dus het helpt om kant-en-klare zinnen te hebben. Een kort script voorkomt dat je improviseert wanneer iemand 'bro please' typt:

• "Ik geef vrij zodra het geld in mijn app staat. Dat duurt meestal een paar minuten."
• "De screenshot is voor mij niet genoeg. Ik moet de bijschrijving zelf zien."
• "De naam op de verzendende rekening komt niet overeen met je profiel. Betaal alstublieft vanaf een rekening op je eigen naam."
• "Als je niet kunt wachten, kunnen we de transactie annuleren."

De laatste zin is het belangrijkst. Een echte koper kan vijf minuten wachten, en een oplichter kan dat niet veroorloven. Een koper die annuleert op het moment dat je om geduld vraagt, heeft je verteld wat je moest weten.

Escrow vervangt deze zinnen niet. Nairametrics merkt op dat P2P-platforms de crypto van de verkoper in escrow blokkeren en deze vrijgeven wanneer de verkoper de betaling bevestigt, wat betekent dat de bevestiging nog steeds jouw beslissing is, en jouw beslissing is precies waar de oplichter op mikt. Dezelfde gids adviseert dat je niet moet vertrouwen opijs dat door de koper wordt aangeleverd.

Als je de munten al hebt vrijgegeven

Handel snel en verwacht dat de munten zelf weg zijn. Maak screenshots van de chat, het profiel van de koper, het transactie-ID, het walletadres en de transactiehash, want zowel de politie als het supportteam van het platform vragen erom. Meld de transactie bij het supportteam van het P2P-platform en bij de politie, en informeer je bank als je vermoedt dat de betalende rekening frauduleus is gebruikt. Doe dit voordat je rust neemt, want details vervagen snel.

Wees op je hoek voor iedereen die contact met je opneemt en de munten tegen een voorafbetaald tarief wil 'terughalen'. Blockchain-transacties hebben geen terughroeiafdeling, dus ongevraagde herstelaanbiedingen verdienen wantrouwen.

Maak de regel fysiek en houd een transactielog bij

Zet de regel waar je hem ziet op het moment van verleiding: schrijf 'Eerst bijschrijving in mijn app' op een kaartje naast je laptop of zet het als vergrendelscherm op de telefoon waarmee je handelt. Het klinkt triviaal, en dat is het punt. Oplichting slaagt wanneer een goede regel alleen in je hoofd leeft en de koper in je inbox schreeuwt.

Bij de volgende transactie loop je de lijst hierboven door voordat je de vrijgaveknop aanraakt, en noteer je in welke rij elke betaling viel. Na een maand laat de log zien welke tegenpartijen netjes betaalden, welke betaalden vanaf rekeningen van anderen en welke je haast vroegen. Die administratie is ook nuttig als een bank je ooit vraagt uit te leggen waar een bijschrijving vandaan kwam.