伪造银行到账通知之所以得逞，是因为它颠倒了交易的顺序。卖家看到一条短信或一张"付款凭证"截图，以为奈拉已经到账，便释放了代币。区块链转账无法撤回，因此几分钟后，当银行应用里没有任何入账记录时，加密货币已经不在了，剩下的只是一条伪造的消息。

防范方法可以归结为一条规则：只有在钱出现在你自己的银行账户中、并且是在你银行自己的应用里核实之后，才释放加密货币。下文将解释这类伪造是如何制作的、该骗局的三种形式，以及在按下释放按钮之前如何检验每一笔付款。

假到账通知只是一条消息，不是付款

大多数假到账通知是靠软件而不是靠技术制作的。Dubawa 是新闻创新与发展中心的事实核查项目，其在 2024 年 2 月的报告中指出，骗子使用模仿银行界面的"Flash fund"（闪充资金）或"Flash alert"（闪充到账）应用。用户输入收款人姓名、账号和金额，应用就会生成一条带有银行标志、交易参考号和日期的消息。由于软件会自动填入标志、参考号和日期，这些细节本身都不能作为证据——这就是为什么本文中的检验方法只看银行自己的记录，绝不看消息本身。目标几乎总是仅凭这条消息就交出贵重物品的人。

同一份报告引用了 2024 年 1 月的一个案例：翁多州警方称，两名嫌疑人用一笔假转账以 465 万奈拉购买了一辆汽车；更早的 2021 年 12 月，埃努古警方逮捕了一个被指控用假到账通知购买汽车的团伙。那些是汽车交易而非加密货币交易，但手法完全相同。

加密货币让同样的伎俩变得更加危险，原因只有一个：终局性。汽车有时可以追回，但链上释放的代币会进入买家控制的地址，无法被追回。唯一的保护是操作顺序——先收钱，由你自己确认，然后才释放加密货币。

需要识别的三种骗局形式

伪造到账通知是最广为人知的形式，但它只是三种模式之一，每一种都是为了骗过不同的核验环节。分清是哪一种，你就知道该核实什么。

伪造到账通知或截图。 买家发来一条消息或一张"付款凭证"图片，显示一笔转账已进入你的账户。实际上什么都没转。如果你相信了这条消息，就会损失代币。

事后被撤销的真实付款。 Nairametrics 在一篇 P2P 骗局指南中描述了这样的买家：先付款，等卖家完成交易后，再向银行声称该转账未经授权。银行把退款给买家，卖家则同时损失加密货币和货款。那份指南的教训是：看到一次入账并不总是故事的结局。

来自他人账户的付款。 买家使用第三方账户向你付款，而该账户往往持有来自其他欺诈活动的资金。Cointelegraph 在 2023 年 3 月报道，在一所法院颁布单方命令、将 107 个账户及其下游受益人置于留置权或"禁止借记"（Post No Debit，PND）状态之后——此前一家尼日利亚金融科技公司据称遭到黑客攻击——部分 P2P 用户表示自己的账户被冻结。"禁止借记"限制会阻止账户的取款和支付。该金融科技公司否认遭到黑客攻击，因此该案件的事实存在争议，但它描述的风险是真实的：来自污染源的资金可能会顺着你的账号找上门。

把陌生人排除在外，或者检验每一笔入账

存在两种防范方式。第一种是核实，下一节会详细介绍。它有效，但要求你在每一笔交易中都保持警惕，永远如此，而对手的职责恰恰就是找出你疲惫或匆忙的那一笔交易。

另一种方法是消除交易对手。如果你只需要现金，可以把比特币卖给在尼日利亚以自有余额向你付款的平台，这样没人能给你发送伪造的到账通知，也没有买家事后对转账提出争议。Breet 就是此类平台之一。Breet 是面向非洲用户和企业的加密货币兑现金及支付平台。出售比特币时，你会得到一个充值地址，发送代币后，Breet 会按确认前显示的汇率将其兑换成奈拉，并可选择自动结算到你的银行账户。交易中没有买家，因此不存在假付款凭证。

第二种防范方式有一个代价：你只能接受平台显示的汇率，而不是和某个人讨价还价，而且付款速度取决于区块链确认。如果你想通过讨价还价获得高于市场价的溢价，P2P 仍是可行的途径，而本文中的核验步骤就是它的代价。

一个合理的经验法则是让防范方式与金额匹配。对于小额、偶发的交易，仔细核实通常就够了。对于较大或经常性的出售，与陌生人的每多一笔交易，都是从同一袋坏结果中再抽一次签，正是在这种情况下，把交易对手从画面中移除才开始变得有意义。

在正确的地方查收入账

唯一算数的证据，是你亲自查到的、进入你自己账户的入账记录。短信可以被伪造，截图可以被编辑，电子邮件可以被伪造。而银行应用中的一条交易记录是由银行自己的系统生成的，陌生人无法修改。

以下每一种"证据"能告诉你什么，以及它值多少分量：

• **转账收据截图：**说明有人制作了一张图片。
• **短信或邮件提醒：**说明一条消息到达了，但发件人你并未核实。
• **应用中的"待处理"或"处理中"记录：**说明一笔转账已发起，并不代表已结算。
• **银行应用中已结算的入账且附言相符：**说明你的银行已记录了这笔钱。
• **入账且汇款人姓名与买家已验证资料相符：**说明钱来自与你交易的人。

Dubawa 的建议与此一致：收到任何提醒后，核实该交易是否已反映在你的账户余额中；如果金额未入账，就把该提醒当作伪造处理。自己打开应用，不要使用消息中的链接——同一份指南警告说，假到账通知可能携带指向恶意软件或仿冒网站的链接。

有两个细节容易让人上当。提醒可能会延迟到达，骗子会利用这个间隙拖延时间，这就是为什么仅凭"没有收到提醒"什么也证明不了。只有账户余额和交易记录才能解决问题。另外不要匆忙确认：一个催你"在报价过期前"释放代币的买家，施加压力是有原因的。

一个包含等待成本的示例

假设一位拉各斯的卖家出售 200 USDT，约定汇率为每美元 1,500 奈拉——这个假设只是为了方便计算。预期收款为 200 × ₦1,500 = ₦300,000。

买家发来一张显示已出 ₦300,000 的截图。卖家打开银行应用，看不到新的入账，于是等待了五分钟。如果转账是真实的，它会显示出来。如果没有显示，卖家只损失了五分钟，并保住了 200 USDT。如果卖家先释放了代币，一条伪造的到账通知就会让他损失整整 ₦300,000 等值的钱。

五分钟对 ₦300,000，这不是一个难以抉择的问题。同样的逻辑也适用于与新交易对手的首次交易：把一笔大额出售拆成两部分，确认第一笔入账后，再释放剩余部分。你损失一点速度，但把损失上限控制在一半。

当买家催促你释放时该说什么

施压是骗局的一部分，所以提前准备好几句话会有帮助。一段简短的话术能让你在对方打出"bro please"时不必即兴应对：

• "钱在我的应用里显示出来我才会释放。通常只需要几分钟。"
• "截图对我来说不够。我必须亲自看到入账。"
• "汇款账户上的姓名和你的资料不符。请用你自己名下的账户付款。"
• "如果你不能等，我们可以取消这笔交易。"

最后一句最重要。真正的买家等得起五分钟，而骗子等不起。一个在你刚要求耐心等待时就取消交易的买家，已经把你需要知道的事告诉了你。

托管机制并不能取代这些话。Nairametrics 指出，P2P 平台会把卖家的加密货币锁定在托管中，并在卖家确认收款后才释放，这意味着确认与否仍是你的决定，而骗子的目标恰恰就是你的这个决定。同一份指南还建议，不要依赖买家提供的证据。

如果你已经释放了代币

迅速行动，并且要预期代币本身已经找不回来了。对聊天记录、买家资料、交易 ID、钱包地址和交易哈希进行截图，因为警方和平台支持团队都会要求提供这些。向 P2P 平台的支持团队和警方报告这笔交易，如果你怀疑付款账户被欺诈使用，也请告知你的银行。趁细节尚未模糊，尽快在休息前完成这些。

对于任何主动联系你、提出收取预付费"找回"代币的人保持警惕。区块链转账没有撤销窗口，因此主动送上门的找回服务值得怀疑。

让规则看得见，并保留交易日志

把规则放在你会在动摇的那一刻看到的地方：在你笔记本电脑旁的卡片上写下"先在我应用里确认到账"，或者把它设为你用来交易的手机的锁屏。这听起来微不足道，而这正是关键所在。当一条好的规则只存在于你的脑子里，而买家正在你的收件箱里大喊大叫时，骗局就会得逞。

下一笔交易，在按下释放按钮之前先过一遍上面的清单，并记录每笔付款属于哪一行。一个月后，日志会告诉你哪些交易对手付款干净、哪些用别人的账户付款、哪些催你快点。如果银行某天要求你解释一笔入账的来源，这份记录也很有用。