Фальшивое банковское уведомление работает потому, что меняет порядок сделки местами. Продавец читает SMS или скриншот «подтверждения платежа», верит, что найра поступила, и отпускает монеты. Перевод в блокчейне нельзя отозвать, поэтому несколько минут спустя, когда банковское приложение не показывает зачисления, криптовалюта уже исчезла, и остаётся лишь поддельное сообщение.

Защита укладывается в одно правило: отпускайте криптовалюту только после того, как деньги появились на вашем собственном банковском счёте, проверенном в приложении вашего банка. Далее объясняется, как создаётся подделка, какие три формы принимает эта схема и как проверять каждый платёж, прежде чем нажимать кнопку подтверждения.

Фальшивое уведомление — это сообщение, а не платёж

Большинство поддельных уведомлений создаются программами, а не мастерством. Dubawa, фактчекинговый проект Centre for Journalism Innovation and Development, сообщила в феврале 2024 года, что мошенники используют приложения «Flash fund» или «Flash alert», имитирующие банковские интерфейсы. Пользователь вводит имя получателя, номер счёта и сумму, а приложение генерирует сообщение с логотипом банка, референсом транзакции и датой. Поскольку программа сама подставляет логотип, референс и дату, ни одна из этих деталей сама по себе не может считаться доказательством — именно поэтому проверки в этой статье опираются только на записи вашего банка, а не на сообщение. Жертвой почти всегда становится тот, кто передаёт что-то ценное, полагаясь лишь на это сообщение.

Тот же отчёт ссылается на случай января 2024 года, когда полиция штата Ондо сообщила, что двое подозреваемых купили автомобиль за 4,65 миллиона найр по поддельному переводу, и на более ранний случай декабря 2021 года, когда полиция Энугу арестовала группу, обвиняемую в покупке автомобилей по фальшивым уведомлениям. Это были продажи автомобилей, а не криптовалютные сделки, но механизм идентичен.

Криптовалюта усугубляет тот же трюк по одной причине: необратимость. Автомобиль иногда можно отследить и вернуть, но монета, отправленная в блокчейн, попадает на адрес, контролируемый покупателем, и вернуть её нельзя. Единственная защита — порядок действий: сначала деньги, подтверждён вами, потом криптовалюта.

Три версии схемы, которые нужно распознавать

Поддельное уведомление — самый известный сценарий, но он один из трёх, и каждый построен так, чтобы обмануть определённую проверку. Понимание различий подсказывает, что именно нужно верифицировать.

Поддельное уведомление или скриншот. Покупатель присылает сообщение или изображение «подтверждения платежа», показывающее перевод на ваш счёт. Ничего не было отправлено. Если вы полагаетесь на сообщение, вы теряете монеты.

Настоящий платёж, который затем отменяется. Nairametrics, в руководстве по P2P-мошенничеству, описывает покупателя, который платит, ждёт завершения сделки, а затем сообщает банку, что перевод не был авторизован. Банк возвращает деньги покупателю, и продавец теряет и криптовалюту, и деньги. Урок из этого руководства: разовое зачисление — ещё не конец истории.

Платёж с чужого счёта. Покупатель платит вам с третьего счёта, часто содержащего деньги от другого мошенничества. Cointelegraph сообщал в марте 2023 года, что после того, как суд выдал односторонний приказ, поставивший 107 счетов вместе с их последующими бенефициарами под арест или в статус Post No Debit (PND) после предположительного взлома нигерийского финтеха, некоторые P2P-пользователи заявили, что их собственные счета были заморожены. Ограничение Post No Debit блокирует снятие средств и платежи со счёта. Финтех оспаривал факт взлома, поэтому факты того дела спорны, но описываемый риск реален: деньги из сомнительного источника могут привести к вашему номеру счёта.

Уберите незнакомца из сделки или проверяйте каждое зачисление

Существует две защиты. Первая — верификация, описанная в следующем разделе. Она работает, но требует внимательности в каждой сделке, всегда, против людей, чья работа — найти ту самую сделку, когда вы устали или спешите.

Другой подход устраняет контрагента. Если вам нужны только деньги, вы можете продать биткоин в Нигерии платформе, которая платит с собственного баланса: никто не сможет прислать вам фальшивое уведомление, и нет покупателя, который позже оспорит перевод. Breet — пример таких платформ. Breet — платформа обмена криптовалюты на наличные и платежей для пользователей и бизнесов в Африке. Чтобы продать Bitcoin, вы получаете адрес для депозита, отправляете монету, и Breet конвертирует её в найры по курсу, показанному до подтверждения, с опциональной автоматической выплатой на банковский счёт. В сделке нет покупателя, поэтому нет и фальшивых подтверждений оплаты.

У второй защиты есть компромисс вы принимаете курс платформы вместо торга с человеком, а скорость выплаты зависит от блокчейн-подтверждений. Если вы хотите торговаться за премию к рыночному курсу, P2P остаётся вариантом, и проверки из этой статьи — его цена.

Разумное правило — соотносить защиту с суммой. Для небольших и редких сделок тщательной верификации обычно достаточно. Для крупных или регулярных продаж каждая дополнительная сделка с незнакомцем — ещё один билет в той же лотерее плохих исходов, и именно там устранение контрагента начинает иметь смысл.

Проверяйте зачисление в правильном месте

Единственное доказательство, которое имеет значение, — это зачисление на вашем собственном счёте, которое вы проверили сами. SMS можно подделать, скриншот — отредактировать, а письмо — сфабриковать. Строка транзакции в приложении вашего банка генерируется системой самого банка, которую посторонний изменить не может.

Вот что говорит каждый вид «доказательства» и сколько веса он заслуживает:

• Скриншот квитанции о переводе: что кто-то сделал изображение.
• SMS или email-уведомление: что сообщение пришло от отправителя, которого вы не проверили.
• Запись «в ожидании» или «в обработке» в приложении: что перевод был начат, а не что он завершился.
• Завершённое зачисление в банковском приложении с совпадающим назначением платежа: что ваш банк зафиксировал деньги.
• Зачисление плюс имя отправителя, совпадающее с верифицированным профилем покупателя: что деньги пришли от человека, с которым вы торгуете.

Совет Dubawa согласуется с этим: после любого уведомления убедитесь, что транзакция отражена в балансе счёта, а если сумма не зачислена, считайте уведомление поддельным. Открывайте приложение сами и не используйте ссылки из сообщения — то же руководство предупреждает, что фальшивые уведомления могут содержать ссылки на вредоносное ПО или сайты-подделки.

Две детали сбивают людей с толку. Уведомления могут приходить с опозданием, и мошенники используют эту паузу, чтобы выиграть время, — поэтому отсутствие уведомления само по себе ничего не доказывает. Ответ дают только баланс счёта и история транзакций. И не подтверждайте в спешке: покупатель, торопящий вас отпустить криптовалюту «до конца предложения», давит не случайно.

Пример с расчётом цены ожидания

Допустим, продавец из Лагоса предлагает 200 USDT, а согласованный курс — 1 500 найр за доллар; это допущение выбрано лишь для простоты арифметики. Ожидаемый платёж: 200 × 1 500 = 300 000 найр.

Покупатель присылает скриншот об отправке 300 000 найр. Продавец открывает банковское приложение, не видит нового зачисления и ждёт пять минут. Если перевод настоящий, он появится. Если нет — продавец потерял пять минут и сохранил 200 USDT. Если бы продавец отправил монеты первым, фальшивое уведомление стоило бы ему полной суммы — эквивалент 300 000 найр.

Пять минут против 300 000 найр — это не сложный выбор. Та же логика применима к первой сделке с новым контрагентом: разделите крупную продажу на две части, подтвердите первое зачисление, затем отпустите остальное. Вы теряете немного скорости и ограничиваете ущерб половиной суммы.

Что сказать покупателю, который дав на вас

Давление — часть схемы, поэтому полезно иметь готовые фразы. Короткий сценарий избавит от импровизации, когда вам печатают «бро, пожалуйста»:

• «Я отправляю, когда деньги видны в моём приложении. Обычно это занимает несколько минут».
• «Скриншота мне недостаточно. Мне нужно самому увидеть зачисление».
• «Имя на счёте отправителя не совпадает с вашим профилем. Пожалуйста, платите со счёта на ваше собственное имя».
• «Если вы не можете подождать, мы можем отменить сделку».

Последняя фраза важнее всего. Настоящий покупатель может подождать пять минут, а мошенник позволить себе этого не может. Покупатель, отменяющий сделку в момент, когда вы просите немного терпения, уже сказал вам всё, что нужно было знать.

Эскроу не заменяет эти фразы. Nairametrics отмечает, что P2P-платформы блокируют криптовалюту продавца в эскроу и освобождают её, когда продавец подтверждает оплату, — то есть подтверждение остаётся вашим решением, и именно на него нацелены мошенники. То же руководство советует не полагаться на доказательства, предоставленные покупателем.

Если вы уже отправили монеты

Действуйте быстро и исходите из того, что сами монеты потеряны. Сделайте скриншоты переписки, профиля покупателя, ID сделки, адреса кошелька и хеша транзакции — их запрашивают и полиция, и служба поддержки платформы. Сообщите о сделке в поддержку P2P-платформы и в полицию, а также уведомите свой банк, если подозреваете, что платёжный счёт использовался мошеннически. Сделайте это до отдыха, так как детали быстро забываются.

Остерегайтесь тех, кто сам выходит на связь, предлагая «вернуть» монеты за предоплату. У блокчейн-переводов нет службы отмены, поэтому непрошеные предложения по «возврату» заслуживают подозрения.

Сделайте правило материальным и ведите журнал сделок

Поместите правило туда, где вы увидите его в момент искушения: напишите «Сначала зачисление в моём приложении» на карточке рядом с ноутбуком или установите как экран блокировки на телефоне, с которого торгуете. Звучит тривиально — в этом и суть. Мошенничество succeeds, когда хорошее правило живёт только в голове, а покупатель кричит во входящих.

В следующей сделке пройдитесь по списку выше, прежде чем нажать кнопку подтверждения, и записывайте, к какой строке относится каждый платёж. Через месяц журнал покажет, какие контрагенты платили чисто, кто платил с чужих счетов, а кто торопил вас. Эта запись также пригодится, если банк когда-нибудь попросит объяснить происхождение зачисления.