Fałszywe powiadomienie bankowe działa, ponieważ odwraca kolejność transakcji. Sprzedawca czyta SMS-a lub zrzut ekranu z „potwierdzeniem płatności”, wierzy, że naira dotarła, i uwalnia monety. Transferu na łańcuchu bloków nie można cofnąć, więc kilka minut później, gdy aplikacja bankowa nie wykazuje żadnej wpłaty, kryptowaluta przepada, a pozostaje tylko sfabrykowana wiadomość.

Obrona mieści się w jednej regule: uwalniaj kryptowalutę dopiero po tym, jak pieniądze pojawią się na twoim własnym koncie bankowym, sprawdzone w aplikacji twojego banku. Poniżej wyjaśniamy, jak powstaje fałszerstwo, jakie trzy formy przybiera oszustwo i jak sprawdzać każdą płatność przed naciśnięciem przycisku zwolnienia.

Fałszywe powiadomienie to wiadomość, nie płatność

Większość fałszywych powiadomień powstaje przy pomocy oprogramowania, a nie umiejętności. Dubawa, projekt fact-checkingowy Centrum dla Innowacji Dziennikarskich i Rozwoju, poinformował w lutym 2024 roku, że oszuści używają aplikacji „Flash fund” lub „Flash alert”, które naśladują interfejsy bankowe. Użytkownik wpisuje nazwę odbiorcy, numer konta i kwotę, aplikacja generuje wiadomość z logo banku, numerem referencyjnym transakcji i datą. Ponieważ oprogramowanie samo wstawia logo, referencję i datę, żadna z tych informacji nie może być traktowana jako samodzielny dowód — dlatego sprawdzenia w tym artykule opierają się wyłącznie na zapisach twojego banku, nigdy na samej wiadomości. Celem jest niemal zawsze ktoś, kto przekazuje coś cennego wyłącznie na podstawie tej wiadomości.

Ten sam raport przywołuje przypadek z stycznia 2024 roku, w którym policja stanu Ondo podała, że dwóch podejrzanych kupiło samochód za 4,65 miliona naira przy użyciu fałszywego przelewu, oraz wcześniejszy przypadek z grudnia 2021 roku, w którym policja w Enugu aresztowała grupę oskarżoną o kupowanie samochodów fałszywymi powiadomieniami. Były to sprzedaże, a nie transakcje kryptowalutowe, ale mechanizm jest identyczny.

Kryptowaluty pogarszają ten sam trik z jednego powodu: ostateczności. Samochód można czasem namierzyć i odzyskać, ale moneta uwolniona na łańcuchu trafia na adres kontrolowany przez kupującego i nie da się jej odzyskać. Jedyne zabezpieczenie to kolejność operacji — najpierw pieniądze, potwierdzone przez ciebie, potem kryptowaluta.

Trzy wersje oszustwa, które warto rozpoznać

Sfabrykowane powiadomienie to najbardziej znany schemat, ale jest jednym z trzech, z których każdy jest skonstruowany, by oszukać inną weryfikację. Wiedza o tym, który z nich masz przed sobą, podpowiada, co sprawdzić.

Sfabrykowane powiadomienie lub zrzut ekranu. Kupujący wysyła wiadomość lub obraz „potwierdzenia płatności” pokazujący przelew na twoje konto. Nic nie zostało wysłane. Jeśli ufasz wiadomości, tracisz monety.

Prawdziwa płatność, która zostaje odwołana. Nairametrics, w przewodniku po oszustwach P2P, opisuje kupującego, który płaci, czeka aż sprzedawca zakończy transakcję, a następnie zgłasza bankowi, że przelew nie był autoryzowany. Bank zwraca pieniądze kupującemu, a sprzedawca traci i kryptowalutę, i pieniądze. Wniosek z tego przewodnika: jednorazowe zobaczenie wpłaty nie zawsze kończy historię.

Płatność z cudzego konta. Kupujący płaci ci z konta osoby trzeciej, często takiego, które przechowuje pieniądze z innego oszustwa. Cointelegraph poinformował w marcu 2023 roku, że po tym, sąd wydał postanowienie ex parte obejmujące 107 kont wraz z ich dalszymi beneficjentami zastawem lub statusem Post No Debit (PND) po rzekomym włamaniu do nigeryjskiego fintechu, część użytkowników P2P podała, że ich własne konta zostały zamrożone. Ograniczenie Post No Debit blokuje wypłaty i płatności z konta. Fintech zaprzeczał włamaniu, więc fakty tej sprawy są sporne, ale opisywane ryzyko jest realne: pieniądze ze skażonego źródła mogą dotrzeć do numeru twojego konta.

Usuń obcego z transakcji albo sprawdzaj każdą wpłatę

Istnieją dwie obrony. Pierwsza to weryfikacja, omówiona w kolejnej sekcji. Działa, ale wymaga ostrożności w każdej pojedynczej transakcji, przez cały czas, wobec ludzi, których zadaniem jest znalezienie tej jednej transakcji, w której jesteś zmęczony albo się spieszysz.

Drugie podejście usuwa kontrahenta. Jeśli potrzebujesz jedynie gotówki, możesz sprzedać bitcoiny w Nigerii platformie, która płaci ci z własnych środków, więc nikt nie może wysłać ci fałszywego powiadomienia i nie ma kupującego, który mógłby później kwestionować przelew. Breet jest przykładem takich platform. Breet to platforma wymiany kryptowalut na gotówkę i płatności dla użytkowników i firm w Afryce. Aby sprzedać bitcoiny, otrzymujesz adres depozytowy, wysyłasz monety, a Breet przelicza je na nairy po kursie wyświetlanym przed potwierdzeniem, z opcjonalnym automatycznym rozliczeniem na twoje konto bankowe. W transakcji nie ma kupującego, więc nie ma fałszywych potwierdzeń płatności.

Druga obrona ma swój koszt: akceptujesz kurs wyświetlany przez platformę zamiast negocjować go z człowiekiem, a szybkość wypłaty zależy od potwierdzeń na łańcuchu bloków. Jeśli chcesz się targować o premię ponad kurs rynkowy, P2P pozostaje drogą, a sprawdzenia opisane w tym artykule są jej ceną.

Rozsądną zasadą jest dopasowanie obrony do kwoty. Przy drobnych, sporadycznych transakcjach staranna weryfikacja zwykle wystarcza. Przy większych lub regularnych sprzedażach każda kolejna transakcja z obcą osobą to kolejne losowanie z tego samego worka złych scenariuszy — i właśnie wtedy usuwanie kontrahenta z równania zaczyna mieć sens.

Sprawdzaj wpłatę we właściwym miejscu

Jedynym dowodem, który się liczy, jest wpłata na twoje własne konto, którą sprawdziłeś samodzielnie. SMS-a można sfałszować, zrzut ekranu edytować, a e-mail podrobić. Pozycja transakcji w aplikacji twojego banku jest generowana przez system samego banku, którego obca osoba nie może edytować.

Oto co mówi każdyaj „dowodu” i jaką wagę mu przypisać:

• Zrzut ekranu z potwierdzeniem przelewu: że ktoś sporządził obraz.
• SMS lub e-mail: że wiadomość dotarła od nadawcy, którego nie zweryfikowałeś.
• Pozycja „oczekująca” lub „w trakcie” w aplikacji: że przelew został rozpoczęty, a nie że został zaksięgowany.
• Zaksięgowana wpłata w aplikacji banku z pasującym opisem: że bank odnotował pieniądze.
• Wpłata plus nazwisko nadawcy zgodne ze zweryfikowanym profilem kupującego: że pieniądze przyszły od osoby, z którą handlujesz.

Zalecenie Dubawy jest zgodne z tym: po każdym powiadomieniu sprawdź, czy transakcja odzwierciedla się w saldzie twojego konta, a jeśli kwota nie została zaksięgowana, potraktuj powiadomienie jako fałszywe. Otwórz aplikację samodzielnie i nie korzystaj z linku w wiadomości — ten sam przewodnik ostrzega, że fałszywe powiadomienia mogą zawierać linki do złośliwego oprogramowania lub stron imitujących banki.

Dwa szczegóły wprowadzają ludzi w błąd. Powiadomienia mogą przychodzić z opóźnieniem, a oszuści wykorzystują tę lukę, by zyskać czas — dlatego brak powiadomienia sam w sobie niczego nie dowodzi w żadną stronę. O rozstrzygnięciu decydują wyłącznie saldo i historia transakcji. I nie potwierdzaj w pośpiechu: kupujący, który naciska na zwolnienie „zanim oferta wygaśnie”, stosuje presję nie bez powodu.

Przykład liczbowy z kosztem czekania

Załóżmy, że sprzedawca z Lagos oferuje 200 USDT, a uzgodniony kurs to 1 500 naira za dolara — założenie przyjęte tylko dla uproszczenia rachunku. Oczekiwana płatność wynosi 200 × 1 500 = 300 000 naira.

Kupujący wysyła zrzut ekranu pokazujący wysłane 300 000 naira. Sprzedawca otwiera aplikację bankową, nie widzi nowej wpłaty i czeka pięć minut. Jeśli przelew jest prawdziwy, się pojawi. Jeśli nie, sprzedawca stracił pięć minut i zachował 200 USDT. Gdyby sprzedawca zwolnił monety najpierw, fałszywe powiadomienie kosztowałoby równowartość pełnych 300 000 naira.

Pięć minut wobec 300 000 naira to nie jest trudna decyzja. Ta sama logika dotyczy pierwszej transakcji z nowym kontrahentem: podziel dużą sprzedaż na dwie części, potwierd pierwszą wpłatę, potem zwolnij resztę. Tracisz nieco szybkości i ograniczasz ewentualną stratę o połowę.

Co mówić, gdy kupujący naciska na zwolnienie

Presja jest częścią oszustwa, więc warto mieć gotowe formułki. Krótki skrypt pozwala uniknąć improwizacji, gdy ktoś pisze do ciebie „bracie, błagam”:

• „Zwalniam, gdy pieniądze pojawią się w mojej aplikacji. Zwykle zajmuje to kilka minut.”
• „Zrzut ekranu mi nie wystarczy. Muszę zobaczyć wpłatę na własne oczy.”
• „Nazwa konta nadawcy nie zgadza się z twoim profilem. Proszę zapłacić z konta na twoje własne nazwisko.”
• „Jeśli nie możesz poczekać, możemy anulować transakcję.”

Ostatnie zdanie ma największe znaczenie. Prawdziwy kupujący może poczekać pięć minut, a oszust nie może sobie na to pozwolić. Kupujący, który anuluje w momencie, gdy prosisz go o cierpliwość, przekazał ci wszystko, co musiałeś wiedzieć.

Escrow nie zastępuje tych formułek. Nairametrics zauważa, że platformy P2P blokują kryptowalutę sprzedawcy w depozycie i zwalniają ją po potwierdzeniu płatności przez sprzedawcę, co oznacza, że potwierdzenie nadal jest twoją decyzją, a to właśnie twoja decyzja jest celem oszusta. Ten sam przewodnik radzi, aby nie polegać na dowodach dostarczonych przez kupującego.

Jeśli już zwolniłeś monety

Działaj szybko i zakładaj, że same monety przepadły. Zrób zrzuty ekranu rozmowy, profilu kupującego, identyfikatora transakcji, adresu portfela i hasha transakcji, bo o to pytają zarówno policja, jak i zespoły wsparcia platformy.

Zgłoś transakcję zespołowi wsparcia platformy P2P i policji, a także powiadom swój bank, jeśli podejrzewasz, że konto płatnika zostało użyte oszukańczo. Zrób to, zanim odpoczniesz, bo szczegóły szybko zacierają się w pamięci.

Uważaj na każdego, kto kontaktuje się z tobą, oferując „odzyskanie” monet za zaliczkę. Transfery na łańcuchu bloków nie mają działu cofania, więc nieproszonych ofert odzysku należy podejrzewać.

Uczyń regułę fizyczną i prowadź dziennik transakcji

Umieść regułę tam, gdzie zobaczysz ją w momencie pokusy: napisz „Najpierw wpłata w mojej aplikacji” na kartce obok laptopa albo ustaw jako ekran blokady telefonu, z którego handlujesz. Brzmi banalnie — i właśnie o to chodzi.

Oszustwa udają się, gdy dobra reguła żyje tylko w twojej głowie, a kupujący krzyczy w twojej skrzynce. Przy następnej transakcji przejdź powyższą listę, zanim dotkniesz przycisku zwolnienia, i zapisuj, do której kategorii wpadła każda płatność.

Po miesiącu dziennik pokaże ci, którzy kontrahenci płacili bez zarzutu, którzy płacili z cudzych kont, a którzy nakręcali cię do pośpiechu. Taki zapis przyda się też, gdyby bank kiedykolwiek poprosił cię o wyjaśnienie skąd pochodziła wpłata.