Truffe sulle gift card crypto: negozi falsi, codici svuotati, sconosciuti urgenti

Tre truffe diverse condividono lo stesso nome. C'è il negozio che prende le tue coin e non spedisce nulla. C'è il codice che arriva esattamente come promesso e che risulta già speso un'ora prima che tu lo comprassi. E c'è lo sconosciuto — al telefono, nella posta, in una chat — che non sta vendendo assolutamente nulla e vuole solo che tu legga ad alta voce sedici cifre. Non sono varianti di uno stesso schema. Hanno vittime diverse, segnali diversi e difese diverse, e solo due delle tre comportano davvero un acquisto.

Ciò che le lega è una caratteristica che criptovalute e codici gift card si trovano a condividere: entrambi si saldano in una sola direzione. Una transazione confermata non può essere richiamata, e un codice riscattato non può tornare non riscattato. Sovrapponendo queste due irreversibilità l'una sull'altra si ottiene, quasi per caso, lo strumento ideale per prendere soldi dagli sconosciuti. Tutto quello che segue serve a riconoscere questa struttura prima di ritrovartici sopra.

#Tre truffe a confronto

Prima dei dettagli, la forma generale. Quasi ogni caso in questo angolo di internet rientra in una di queste tre categorie, e sapere di quale si tratta dice subito cosa fare.

La terza è di gran lunga la più diffusa, ed è l'unica in cui ogni soggetto commerciale coinvolto si comporta correttamente. È per questo che esiste la guida della FTC per i consumatori sulle truffe delle gift card, ed è utile leggerla anche se non comprerai mai una carta con crypto in vita tua.

#Truffa uno: il negozio che non consegna mai

È a questa che si pensa di solito quando ci si chiede se un sito di gift card crypto sia una truffa. Ed è anche la più facile da difendere delle tre, perché la frode va costruita prima del tuo arrivo, e costruirla lascia tracce.

Il meccanismo è banale. Si mette in piedi un sito con un catalogo copiato da un negozio vero, un checkout che genera un indirizzo wallet, e un canale di supporto che vive su un'app di messaggistica. Tu paghi. O non succede nulla, oppure — la variante più redditizia — il sito segnala un problema e chiede un secondo pagamento per risolverlo: una commissione di rete, un deposito di verifica, una spesa di sblocco su un ordine grande. Quella seconda richiesta è l'intero modello di business. Il primo pagamento stabilisce che sei disposto a mandare soldi; il secondo è dove sta il guadagno.

#Lo sconto è il segnale

Parti dal numero in prima pagina, perché risolve la questione più in fretta di qualsiasi altra cosa.

Le gift card non sono un prodotto ad alto margine. Un rivenditore vende le proprie carte al valore nominale, e un distributore le acquista con uno sconto di poche unità percentuali sul nominale — e quella fetta sottile è tutto il margine che l'intera catena si divide. Ogni rivenditore, aggregatore e negozio crypto al mondo lavora dentro questo margine. Per questo uno sconto genuino su un grande marchio è di pochi punti percentuali, ed è per questo che il nostro è limitato al 5%, che è più o meno il tetto massimo consentito da un inventario onesto.

Quindi quando un negozio pubblicizza il 30%, il 40% o il 60% di sconto su una carta Amazon o Apple, non ti sta offrendo un affare migliore sullo stesso prodotto. Non esiste una filiera in cui quella carta sia stata acquisita con il 40% di sconto. O non è mai stata acquistata affatto, oppure è stata comprata con i dati di pagamento rubati a qualcun altro — il che la rende la seconda truffa di questo articolo, non la prima, e ti lascia in mano un codice che il brand annullerà nel momento in cui arriva lo storno.

Uno sconto ben oltre il 10% su un grande marchio non è un affare. È un indizio sulla provenienza di quella merce.

#Un indirizzo condiviso è il segnale tecnico

Il secondo controllo è specifico del mondo crypto, e quasi nessuno pensa a farlo. Un checkout vero genera un indirizzo di deposito nuovo, esclusivo per il tuo ordine e per nient'altro. Non è una cortesia. È l'unico modo in cui un sistema senza account può distinguere il tuo pagamento da quello di chiunque altro, ed è ciò che permette a un deposito in arrivo di identificarsi da sé.

I negozi falsi raramente si prendono questo disturbo. Pubblicano un solo indirizzo — lo stesso fissato in cima al loro canale, lo stesso di uno screenshot della settimana scorsa, lo stesso che ti viene dato a un secondo ordine. Poi ti chiedono di inviare l'hash della transazione per "confermare" il pagamento, perché con un indirizzo condiviso non riescono davvero ad abbinare un deposito a un acquirente.

Se ti viene chiesto di inviare l'hash della transazione, significa che il negozio non riesce a identificare da solo il tuo pagamento. A volte è solo un negozio costruito male, non necessariamente fraudolento. Ma non è mai un buon segno. Un checkout costruito correttamente inizia a monitorare l'indirizzo nell'istante in cui il tuo wallet trasmette la transazione, esattamente come descritto dall'interno nella nostra guida su problemi di pagamento crypto.

#Dieci controlli che richiedono un minuto

Nessuno di questi controlli richiede un account, un acquisto o competenze tecniche. Falli nell'ordine indicato — i primi tre eliminano la maggior parte di ciò che c'è in giro.

L'ultimo punto merita una precisazione. Le recensioni sul sito stesso di un negozio non valgono nulla da sole — le nostre comprese. Cerca invece dove il negozio viene discusso in un luogo su cui non ha alcun controllo editoriale, e dai peso a quello. La stessa logica vale per le pagine di confronto scritte dai venditori stessi, ed è per questo che il nostro confronto rimanda alla documentazione di assistenza di ogni concorrente, invece di chiederti di fidarti sulla parola per le loro politiche.

#Truffa due: il codice già speso

Questa è più subdola, perché qualcosa lo ricevi davvero. Un codice vero, nel formato corretto, per il brand giusto. Lo inserisci e il saldo è zero, oppure il brand lo rifiuta categoricamente.

Un codice gift card è uno strumento al portatore: il saldo appartiene a chiunque lo digiti per primo, e il brand non ha modo di distinguere l'acquirente da chi lo ha trovato o da chi lo ha rubato. Questo è l'intero motivo per cui il formato è comodo, ed è anche l'intero motivo per cui la rivendita è rischiosa. Non c'è alcun nome sopra, quindi non c'è nessuno a cui restituirlo.

I codici arrivano ai marketplace scontati attraverso tre canali, e solo uno di questi è sicuro:

• Carte davvero indesiderate. A qualcuno è stata regalata una carta per un negozio che non usa mai, e la rivende sotto il valore nominale. Legittimo in linea di principio, ed è la ragione per cui i marketplace di rivendita esistono.
• Carte comprate con dati di pagamento rubati. Il codice è vero e ha un saldo, finché settimane dopo non arriva lo storno e il brand annulla il saldo. E in quel momento sei tu a tenerlo in mano.
• Codici che sono stati fotografati. Un codice visto da chiunque — un magazziniere, un acquirente precedente, uno screenshot in una chat di gruppo — resta un codice valido per chi lo riscatta per primo. Il venditore può essere del tutto onesto e comunque venderti il nulla.

Non puoi distinguere i tre casi solo guardando, e non può farlo nemmeno il marketplace. La difesa è strutturale, non investigativa: compra da chi ha emesso il codice, non da chi lo detiene. Una carta che passa dalla distribuzione ufficiale del brand direttamente alla tua casella di posta non ha avuto occasione di essere fotografata, né ha alle spalle un pagamento reversibile.

Poi riscattalo subito. Non perché i codici si deteriorino, ma perché il tuo diritto sul saldo vale solo quanto vale essere il primo. Se viene rifiutato, la nostra guida alla risoluzione dei problemi di riscatto separa le cause banali — una discrepanza di regione è di gran lunga la più comune — da quelle che significano che il codice non è mai stato davvero tuo.

#Truffa tre: lo sconosciuto che vuole essere pagato in codici

È la più diffusa delle tre, e l'unica in cui ogni negozio della filiera si comporta correttamente. Compri una carta vera da un rivenditore vero. Poi leggi i numeri a qualcuno che non dovrebbe averli.

I copioni cambiano di continuo; la struttura non cambia mai. Qualcuno ti contatta, crea un senso di urgenza e indica le gift card come metodo di pagamento. Si presenta come un ufficio delle tasse che minaccia l'arresto, una utility che sta per staccare la corrente, un tecnico che ha "trovato" un problema sul tuo computer, un manager che ha bisogno di carte per lo staff ed è bloccato in una riunione, un partner mai incontrato di persona che ha bisogno di aiuto solo questa volta, un datore di lavoro che ti ha pagato troppo e vuole indietro la differenza, un premio che richiede lo sblocco di una commissione prima di poter essere inviato.

Le gift card non sono scelte a caso. Sono in vendita in ogni supermercato, si incassano nell'istante in cui i numeri vengono pronunciati, si rivendono per crypto in pochi minuti e — a differenza di un pagamento con carta o di un bonifico — non esiste in nessun punto della catena un'istituzione con il potere di annullarle. Un bonifico, a volte, può ancora essere richiamato. Un codice che è già stato letto ad alta voce è perso per sempre.

#La regola che chiude la telefonata

Nessun governo, tribunale, agenzia delle entrate, forza di polizia, utility, banca, compagnia aerea, ospedale o datore di lavoro ha mai accettato un pagamento in codici gift card. Mai, in nessun paese, per nessun motivo. Non esiste un'eccezione da cercare, nessun caso limite legittimo, nessun ufficio che funzioni diversamente dagli altri. Se il metodo di pagamento richiesto è una gift card, la richiesta è fraudolenta, e non serve valutare nient'altro di quella conversazione.

Questa unica regola risolve l'intera categoria, comprese le versioni che ancora nessuno ha sentito. Le storie si evolvono a ogni stagione; il metodo di pagamento è la parte che deve restare fissa, perché è la parte che fa funzionare la truffa.

#Due varianti dell'era crypto

Vale la pena citare due versioni più recenti, perché entrambe sono pensate per aggirare la regola qui sopra.

La conversione da carta a coin. Ti viene detto di comprare una gift card e poi di usarla per comprare criptovaluta, "perché il trasferimento è più veloce" o "perché il portale di pagamento non funziona". Questo passaggio ripulisce la richiesta facendola sembrare tecnica e volontaria. Ma è la stessa identica truffa. La carta viene semplicemente spostata di un passaggio in più prima di essere spesa.

Il servizio di recupero. Dopo una perdita, qualcuno si fa avanti offrendo di tracciare o recuperare i fondi dietro una commissione anticipata — pagabile, guarda caso, in gift card o crypto. Le società di analisi blockchain esistono davvero, ma lavorano per le forze dell'ordine e per gli exchange, non per i privati che le contattano per primi. Nessuno che ti contatta spontaneamente per dei soldi che hai già perso te li restituirà davvero. La pagina della FTC su cosa fare dopo una truffa illustra le strade reali da percorrere, nessuna delle quali richiede una commissione.

#Cosa mostra un vero checkout crypto

È più facile riconoscere un checkout legittimo che catalogare ogni possibile falso, perché la versione legittima deve necessariamente mostrare certi meccanismi per poter funzionare. Sette cose dovrebbero essere visibili senza dover chiedere nulla a nessuno:

• Un indirizzo di deposito che appartiene al tuo ordine. Generato quando scegli una coin, usato una sola volta. È questo che elimina la necessità di un account, di un login o di una prova di pagamento.
• La rete indicata accanto all'indirizzo. Tron, Ethereum, Solana — scritta per esteso, non sottintesa dal ticker. Un invio sulla rete sbagliata è l'unico errore nei pagamenti crypto che nessuno può annullare, e un negozio che nasconde la rete ti sta preparando proprio a quello.
• Una quotazione con una scadenza visibile e una policy scritta su cosa succede se scade. La nostra blocca il prezzo per la durata del conto alla rovescia e recupera i depositi in ritardo con un recupero automatico di 48 ore, regolato al tasso del momento del recupero. Ciò che conta non è tanto la policy specifica, quanto il fatto che ne sia dichiarata una in anticipo.
• Stati dell'ordine in tempo reale. La pagina dovrebbe passare da in attesa a in conferma nell'istante in cui il tuo wallet trasmette la transazione, senza bisogno di ricaricare né di segnalare nulla.
• Un solo totale, e nessuna seconda richiesta. Non esiste mai una commissione di rilascio, un deposito di verifica o una spesa di sblocco. Quando un pagamento risulta insufficiente, entra in una procedura dichiarata — invia la differenza allo stesso indirizzo, oppure richiedi indietro il saldo.
• Un ordine che puoi riaprire. La ricerca ordine richiede un numero d'ordine e l'email usata al checkout, e resta attiva per 14 giorni. Nessun account significa nessuna password da perdere; non deve significare nessuna traccia.
• Termini che indicano le finestre temporali. I nostri si trovano nei termini e sono riassunti nelle FAQ: prima che un codice venga emesso, un ordine può essere rimborsato nella coin con cui è arrivato; dopo la consegna, un codice non riscattato può essere rimborsato entro 14 giorni. Una volta che un codice è stato riscattato presso il brand, nessuno può annullarlo.

Quest'ultima clausola ha un corollario che i nostri termini dichiarano apertamente, e merita di stare in questo articolo invece che sepolto in una pagina di policy: un codice che ti sei fatto convincere a leggere ad alta voce non è rimborsabile. Non qui, e non da nessun'altra parte. La finestra di rimborso ti protegge da un codice che non ha funzionato; nulla ti protegge da un codice che ha funzionato perfettamente per qualcun altro.

#Cosa possiamo dimostrare, e cosa no

Una guida alla sicurezza pubblicata da un negozio vale la pena leggerla solo se il negozio è onesto sui limiti del proprio caso. Ecco quindi i nostri.

Verificabile subito, senza doverti fidare di noi: l'indirizzo di deposito è nuovo a ogni ordine; la rete è indicata accanto ad esso; gli stati cambiano da soli; non esiste un secondo pagamento in nessun punto del flusso; le finestre di rimborso e di consegna sono scritte prima che tu paghi; un ordine può essere riaperto senza un account; le guide in questo journal riportano una data e sono state aggiornate pubblicamente; e il catalogo dichiara quando una carta è vincolata a una regione, invece di far finta che funzioni ovunque.

Non verificabile: che saremo ancora qui tra cinque anni. Nessuna attività senza KYC può dimostrarlo, e chiunque affermi il contrario ti sta dicendo qualcosa che non può sapere. Noi chiediamo un indirizzo email e nient'altro — che è proprio il senso del modello, ed è il motivo per cui qui c'è pochissimo da far trapelare — ma lo stesso design significa anche che nessun regolatore detiene un deposito per tuo conto.

L'atteggiamento corretto verso qualsiasi negozio di questa categoria, il nostro incluso, è quindi qualcosa di più circoscritto della fiducia: trattalo come una controparte per una singola transazione, non come un posto dove conservare valore. Compra l'importo che stai per spendere. Riscatta il codice appena arriva. Non accumulare saldi da nessuna parte — né da noi, né da un concorrente. Questo consiglio ci fa perdere soldi, e resta comunque il consiglio giusto.

#Se è già successo

La velocità è l'unica variabile ancora sotto il tuo controllo. Un codice segnalato al brand entro pochi minuti da quando è stato letto ad alta voce viene a volte bloccato prima di essere svuotato. La stessa segnalazione un'ora dopo quasi mai.

Segnalalo anche quando il recupero è ormai senza speranza. Negli Stati Uniti il riferimento è reportfraud.ftc.gov, e per tutto ciò che coinvolge le criptovalute l'IC3 dell'FBI; altrove, l'ente antifrode nazionale del tuo paese. Le segnalazioni sono il modo in cui un solo indirizzo wallet che ha raccolto fondi da cento vittime diventa un caso, invece di restare cento delusioni separate.

#Domande frequenti

#Comprare gift card con crypto è una truffa?

No — è un normale acquisto al dettaglio con un metodo di pagamento insolito. Il rischio non sta nel modello, sta nella controparte, esattamente come per qualsiasi acquisto online. Quello che cambia è che il pagamento non può essere stornato, il che alza il costo di scegliere il negozio sbagliato ed è il motivo per cui i controlli visti sopra valgono il minuto che richiedono.

#Come posso capire se un sito di gift card crypto è legittimo?

Esegui i dieci controlli. I tre che eliminano la maggior parte dei falsi sono l'entità dello sconto, se l'indirizzo di deposito è esclusivo per il tuo ordine, e se viene richiesto un secondo pagamento dopo che hai già pagato. Un negozio che fallisce anche solo uno di questi tre non merita ulteriori indagini.

#Perché uno sconto del 40% è un segnale negativo e non un buon affare?

Perché quel margine non esiste. I distributori comprano le carte dei grandi marchi con uno sconto di poche unità percentuali sul valore nominale, e quella fetta viene condivisa lungo l'intera catena. Uno sconto del 40% non può essere finanziato da un acquisto legittimo, il che lascia solo due possibilità: merce mai comprata, oppure comprata con dati di pagamento rubati.

#Un codice gift card può essere rubato dopo che l'ho ricevuto?

Il saldo sì, se il codice è mai stato visibile a qualcun altro. I codici sono strumenti al portatore: vince il primo riscatto, e il brand non può distinguere un acquirente da un ladro. Compra da chi emette il codice e non da una persona, riscattalo subito, e non pubblicare, fotografare o incollare mai un codice da nessuna parte.

#Qualcuno mi sta chiedendo di pagare una bolletta in gift card. Può mai essere vero?

No. Nessuna agenzia delle entrate, tribunale, forza di polizia, utility, banca o datore di lavoro accetta codici gift card, in nessun paese e in nessuna circostanza. Il metodo di pagamento basta da solo a chiarirlo — non serve valutare la storia né verificare chi chiama.

#Un negozio vuole il mio hash della transazione. È normale?

Significa che il negozio non riesce ad abbinare da solo il tuo deposito, il che di solito vuol dire che l'indirizzo è condiviso tra più acquirenti. Un checkout che genera un indirizzo per ogni ordine vede il tuo pagamento nell'istante in cui il tuo wallet lo trasmette, e non ha mai bisogno di un hash, di uno screenshot o di una ricevuta.

#Ho pagato, e ora l'ordine richiede una commissione di rilascio. Cosa devo fare?

Fermati. Nessun checkout legittimo richiede un secondo pagamento per consegnare quanto dovuto dal primo. Una carenza genuina si risolve inviando la differenza allo stesso indirizzo e nient'altro — i veri casi di errore sono descritti in problemi di pagamento crypto. Una commissione di rilascio, di verifica o di sblocco è la truffa stessa, non un passaggio al suo interno.

#Trattenete i miei soldi se qualcosa va storto?

No, ed è una scelta deliberata. Un ordine non pagato o pagato solo in parte viene rimborsato nella coin con cui è arrivato, un codice non riscattato può essere rimborsato entro 14 giorni, e non esiste alcun saldo o wallet in cui i fondi possano restare fermi. Compra solo quello che stai per spendere — è l'unico atteggiamento che non dipende dal fidarsi della longevità di nessuno.

#Dove segnalo una truffa sulle gift card?

Chiama prima il brand; solo il brand può bloccare un saldo, e Amazon, Apple, Steam e Google gestiscono tutti una linea antifrode per le gift card. Poi segnalalo — reportfraud.ftc.gov negli Stati Uniti, IC3 per tutto ciò che coinvolge le crypto, oppure l'ente antifrode nazionale del tuo paese altrove. Conserva la carta, la ricevuta e gli indirizzi; una segnalazione senza questi elementi è molto più difficile da far valere. Se a essere andato storto è un ordine effettuato con noi, inizia da lì.