Golpes com Gift Card em Cripto: Lojas Falsas, Códigos Esvaziados, Estranhos com Urgência

Três fraudes diferentes dividem um só nome. Há a loja que fica com as suas moedas e não envia nada. Há o código que chega exatamente como prometido e, na hora de usar, descobre-se que já tinha sido gasto uma hora antes de você comprá-lo. E há o estranho — no telefone, na caixa de entrada, numa janela de chat — que não está vendendo nada e só quer que você leia dezesseis dígitos em voz alta. Não são variações de um mesmo tema. Têm vítimas diferentes, sinais diferentes e defesas diferentes, e só dois deles envolvem comprar alguma coisa.

O que liga os três é uma característica que a criptomoeda e os códigos de gift card compartilham: os dois só se resolvem numa única direção. Uma transação confirmada não pode ser revertida, e um código resgatado não pode ser desresgatado. Empilhe essas duas irreversibilidades uma sobre a outra e você constrói, quase sem querer, um instrumento ideal para tirar dinheiro de estranhos. Tudo o que vem a seguir é sobre reconhecer essa pilha antes de você estar em cima dela.

#Três golpes, lado a lado

Antes do detalhe, o formato. Quase todo incidente nesse canto da internet é um desses três, e saber qual deles você está vendo já diz o que fazer a seguir.

O terceiro é, disparado, o maior dos três, e o único em que todas as partes comerciais agem de forma correta. A orientação do FTC para consumidores sobre golpes com gift card existe por causa dele, e vale a pena ler mesmo que você nunca compre um cartão com cripto na vida.

#Golpe um: a loja que nunca entrega

É nisso que as pessoas pensam quando perguntam se um site de gift card em cripto é golpe. Também é o mais fácil dos três de se defender, porque a fraude precisa ser montada antes de você chegar, e montá-la deixa marcas.

A mecânica é banal. Um site é montado com um catálogo copiado de uma loja de verdade, um checkout que gera um endereço de carteira, e um canal de suporte que vive num aplicativo de mensagens. Você paga. Ou nada acontece, ou — a variante mais lucrativa — o site relata um problema e pede um segundo pagamento para resolvê-lo: uma taxa de rede, um depósito de verificação, uma cobrança de desbloqueio num pedido grande. Esse segundo pedido de pagamento é o modelo de negócio inteiro. O primeiro pagamento estabelece que você vai enviar dinheiro; o segundo é onde está o lucro.

#O desconto é o sinal

Comece pelo número na página inicial, porque ele resolve a questão mais rápido do que qualquer outra coisa.

Gift card não é produto de margem alta. Um varejista vende os próprios cartões pelo valor de face, e um distribuidor os compra com um desconto pequeno, de um dígito só, sobre esse valor — e essa fatia fina é toda a margem que a cadeia inteira divide entre si. Todo revendedor, agregador e loja de cripto do mundo trabalha dentro dela. É por isso que um desconto genuíno numa marca grande é de poucos por cento, e por isso que o nosso é limitado a 5%, o que é, mais ou menos, o teto que um estoque honesto permite.

Então, quando uma loja anuncia 30%, 40% ou 60% de desconto num cartão da Amazon ou da Apple, ela não está oferecendo uma oferta melhor no mesmo produto. Não existe cadeia de suprimentos em que esse cartão tenha sido adquirido com 40% de desconto. Ou ele nunca foi adquirido de fato, ou foi comprado com dados de pagamento roubados de outra pessoa — o que o transforma no segundo golpe deste artigo, não no primeiro, e deixa você com um código que a marca vai anular assim que o chargeback cair.

Um desconto muito além de 10% numa marca grande não é uma pechincha. É uma descrição de onde aquele estoque veio.

#Um endereço compartilhado é o sinal técnico

A segunda verificação é específica de cripto, e quase ninguém pensa em fazê-la. Um checkout de verdade gera um endereço de depósito novo só para o seu pedido, e para mais nada. Isso não é cortesia. É a única forma de um sistema sem contas distinguir o seu pagamento do de todo mundo, e é o que faz um depósito se identificar sozinho ao chegar.

Lojas falsas raramente se dão a esse trabalho. Elas publicam um único endereço — o mesmo fixado no canal delas, o mesmo de uma captura de tela da semana passada, o mesmo que te dão num segundo pedido. Depois pedem para você enviar o hash da transação para "confirmar" o pagamento, porque, com um endereço compartilhado, elas realmente não conseguem associar um depósito a um comprador.

Se pedirem para você enviar o hash da transação, a loja não consegue identificar o seu pagamento sozinha. Às vezes isso significa uma loja mal construída, não necessariamente fraudulenta. Mas nunca é um bom sinal. Um checkout bem montado começa a monitorar no segundo em que a sua carteira transmite a transação, e é isso que o passo a passo em problemas de pagamento em cripto descreve por dentro.

#Dez verificações que levam um minuto

Nenhuma delas exige conta, compra ou qualquer habilidade técnica. Faça-as em ordem — as três primeiras eliminam a maior parte do que existe por aí.

A última merece uma ressalva. Depoimentos no próprio site de uma loja não valem nada sozinhos — incluindo os nossos. Procure a loja sendo discutida em algum lugar onde ela não tem controle editorial, e dê peso a isso, não aos depoimentos. A mesma lógica vale para páginas de comparação escritas por vendedores, e é por isso que a nossa própria comparação aponta para a documentação de ajuda de cada concorrente, em vez de pedir que você acredite na nossa palavra sobre as políticas deles.

#Golpe dois: o código que já tinha sido gasto

Esse é mais sutil, porque você realmente recebe alguma coisa. Um código real, com o formato correto, da marca certa. Você digita e o saldo é zero, ou a marca recusa o código de cara.

Um código de gift card é um instrumento ao portador: quem digitar primeiro fica com o saldo, e a marca não tem como distinguir o comprador de quem achou o código de quem o roubou. É exatamente por isso que o formato é conveniente, e exatamente por isso que a revenda é perigosa. Não tem nome escrito nele, então não há a quem devolvê-lo.

Os códigos chegam aos marketplaces de desconto por três caminhos, e só um deles é seguro:

• Cartões genuinamente indesejados. Alguém ganhou um cartão de uma loja que nunca usa e o vende abaixo do valor de face. Legítimo em princípio, e a razão de existirem marketplaces de revenda.
• Cartões comprados com dados de pagamento roubados. O código é real e tem saldo, até o chargeback cair semanas depois e a marca anular o saldo. E é você quem fica com o código na mão quando isso acontece.
• Códigos que já foram fotografados. Um código visto por qualquer pessoa — um funcionário de armazém, um comprador anterior, uma captura de tela num grupo — continua sendo um código válido para quem o resgatar primeiro. O vendedor pode ser totalmente honesto e, ainda assim, não vender absolutamente nada.

Você não consegue diferenciar os três só de olhar, e o marketplace também não consegue. A defesa é estrutural, não forense: compre de quem emitiu o código, não de quem está com ele na mão. Um cartão que vai direto da distribuição da própria marca para a sua caixa de entrada não teve chance de ser fotografado nem tem um pagamento reversível por trás dele.

Depois, resgate-o rapidamente. Não porque os códigos vencem, mas porque o seu direito sobre o saldo vale tanto quanto ser o primeiro a usá-lo. Se o código for recusado, o nosso guia de resolução de problemas de resgate separa as causas banais — uma incompatibilidade de região é disparada a mais comum — das causas que significam que o código nunca foi realmente seu.

#Golpe três: o estranho que quer ser pago em códigos

Esse é o maior dos três, e o único em que toda loja da cadeia age corretamente. Você compra um cartão de verdade de um varejista de verdade. Depois lê os números para alguém que não deveria ter acesso a eles.

Os roteiros mudam o tempo todo; a estrutura nunca muda. Alguém entra em contato, fabrica uma urgência, e especifica gift cards como forma de pagamento. Aparece como uma receita federal ameaçando prisão, uma concessionária de energia prestes a cortar a luz, um técnico que "encontrou" um problema no seu computador, um gerente que precisa de cartões para a equipe e está preso numa reunião, um parceiro que você nunca conheceu pessoalmente e precisa de ajuda só dessa vez, um empregador que pagou a mais e quer a diferença de volta, um prêmio que precisa de uma taxa liberada antes de poder ser enviado.

Gift cards são escolhidos de propósito. Estão à venda em qualquer supermercado, liquidam no instante em que os números são ditos, são revendidos por cripto em minutos, e — ao contrário de um pagamento no cartão ou de uma transferência bancária — não existe nenhuma instituição em nenhum ponto da cadeia com poder para revertê-los. Uma transferência bancária pode, ocasionalmente, ser cancelada. Um código que já foi lido em voz alta se foi.

#A regra que encerra a ligação

Nenhum governo, tribunal, autoridade tributária, polícia, concessionária de serviços públicos, banco, companhia aérea, hospital ou empregador jamais aceitou pagamento em códigos de gift card. Nem uma vez, em nenhum país, por nenhum motivo. Não existe exceção a procurar, nenhum caso especial legítimo, nenhum departamento que faça diferente. Se a forma de pagamento pedida é um gift card, o pedido é fraudulento, e nada mais na conversa precisa ser avaliado.

Essa única regra resolve a categoria inteira, incluindo as versões que ninguém ouviu falar ainda. As histórias evoluem a cada temporada; a forma de pagamento é a parte que precisa ficar fixa, porque é a parte que faz a fraude funcionar.

#Duas variantes da era cripto

Duas versões mais recentes merecem ser citadas, porque as duas foram desenhadas para sobreviver à regra acima.

A conversão de cartão em cripto. Dizem para você comprar um gift card e depois usá-lo para comprar criptomoeda, "porque a transferência é mais rápida" ou "porque o portal de pagamento está fora do ar". Isso disfarça o pedido através de uma etapa que parece técnica e voluntária. É o mesmo golpe. O cartão só está sendo movido um passo antes de ser gasto.

O serviço de recuperação. Depois de um prejuízo, alguém aparece se oferecendo para rastrear ou recuperar os fundos mediante uma taxa antecipada — paga, veja só, em gift cards ou cripto. Empresas de análise de blockchain existem de verdade, e trabalham para autoridades policiais e para exchanges, não para pessoas que as procuram por conta própria. Ninguém que entra em contato do nada sobre um dinheiro que você já perdeu vai devolvê-lo. A página do FTC sobre o que fazer depois de um golpe apresenta os caminhos de verdade, e nenhum deles cobra taxa.

#O que um checkout de cripto de verdade mostra para você

É mais fácil reconhecer um checkout legítimo do que catalogar cada um dos falsos, porque a versão legítima precisa expor certos mecanismos para funcionar. Sete coisas devem estar visíveis sem que você precise perguntar a ninguém:

• Um endereço de depósito que pertence só ao seu pedido. Gerado quando você escolhe uma moeda, usado uma única vez. É isso que elimina a necessidade de conta, login ou comprovante de pagamento.
• A rede impressa ao lado do endereço. Tron, Ethereum, Solana — escrito por extenso, não apenas sugerido pelo ticker. Um envio pela rede errada é a única falha em pagamentos com cripto que ninguém consegue desfazer, e uma loja que esconde a rede está te preparando para cair nela.
• Uma cotação com validade visível e uma política por escrito para quando ela expira. A nossa mantém o preço durante a contagem regressiva e recolhe depósitos atrasados com uma varredura de recuperação de 48 horas, liquidada na cotação do momento da varredura. O que importa menos é qual é a política específica, e mais que exista uma declarada com antecedência.
• Estados do pedido ao vivo. A página deve passar de pendente para confirmando no instante em que a sua carteira transmite a transação, sem nada para atualizar e nada para informar.
• Um único total, e nenhum segundo pedido de pagamento. Nunca existe taxa de liberação, depósito de verificação ou cobrança de desbloqueio. Quando um pagamento fica incompleto, ele entra num procedimento declarado — enviar a diferença para o mesmo endereço, ou pegar o saldo de volta.
• Um pedido que você pode reabrir. A consulta de pedidos usa o número do pedido e o e-mail usado no checkout, e fica disponível por 14 dias. Sem conta significa não ter senha para perder; não pode significar não ter registro.
• Termos que definem os prazos. Os nossos estão nos termos e resumidos no FAQ: antes de um código ser emitido, um pedido pode ser devolvido na moeda em que chegou; depois da entrega, um código não resgatado pode ser reembolsado em até 14 dias. Depois que um código é resgatado na marca, ninguém pode revertê-lo.

Essa última cláusula tem um corolário que os nossos termos declaram sem rodeios, e que merece estar neste artigo, não escondido numa página de política: um código que você foi convencido a ler em voz alta não é reembolsável. Nem aqui, nem em lugar nenhum. O prazo de reembolso te protege contra um código que falhou; nada te protege contra um código que funcionou perfeitamente para outra pessoa.

#O que podemos provar, e o que não podemos

Um guia de segurança publicado por uma loja só vale a pena ler se a loja for honesta sobre os limites do próprio caso. Então aqui está o nosso.

Verificável agora mesmo, sem precisar confiar em nós: o endereço de depósito é novo em cada pedido; a rede vem impressa ao lado dele; os estados mudam sozinhos; não existe segundo pagamento em nenhum ponto do fluxo; os prazos de reembolso e entrega estão escritos antes de você pagar; um pedido pode ser reaberto sem conta; os guias deste jornal trazem datas e já foram revisados publicamente; e o catálogo avisa quando um cartão está travado para uma região, em vez de fingir que tudo funciona em qualquer lugar.

Não verificável: que a gente ainda vai estar aqui daqui a cinco anos. Nenhum negócio sem KYC consegue provar isso, e qualquer um que afirme o contrário está te contando algo que não sabe. Pedimos um e-mail e nada mais — esse é o ponto central do modelo, e a razão de haver muito pouco aqui para vazar — mas esse mesmo desenho também significa que nenhum regulador está segurando um depósito em seu nome.

A postura certa diante de qualquer loja dessa categoria, essa incluída, é portanto mais restrita do que a confiança: trate-a como uma contraparte para uma única transação, não como um lugar para guardar valor. Compre o valor que você está prestes a gastar. Resgate o código assim que ele chegar. Não acumule saldo em lugar nenhum — nem com a gente, nem com um concorrente. Esse conselho tira dinheiro do nosso bolso, e mesmo assim continua sendo o conselho certo.

#Se isso já aconteceu

Velocidade é a única variável que ainda está sob o seu controle. Um código relatado à marca minutos depois de ser lido em voz alta às vezes é congelado antes de ser esvaziado. A mesma ligação, uma hora depois, quase nunca consegue isso.

Denuncie mesmo quando a recuperação for impossível. Nos Estados Unidos, isso é o reportfraud.ftc.gov, e para qualquer coisa envolvendo criptomoeda, o IC3 do FBI; em outros lugares, o órgão nacional de combate a fraudes do seu país. Denúncias são o que transforma um único endereço de carteira que recebeu de cem vítimas num caso, em vez de cem decepções separadas.

#Perguntas frequentes

#Comprar gift card com cripto é golpe?

Não — é uma compra comum de varejo com uma forma de pagamento incomum. O risco não está no modelo, está na contraparte, exatamente como em qualquer compra on-line. O que muda é que o pagamento não pode sofrer chargeback, o que aumenta o custo de escolher a loja errada e é por isso que as verificações acima valem o minuto que tomam.

#Como saber se um site de gift card em cripto é legítimo?

Faça as dez verificações. As três que eliminam a maioria das lojas falsas são o tamanho do desconto, se o endereço de depósito é exclusivo do seu pedido, e se algum segundo pagamento é pedido depois que você já pagou. Uma loja que falha em qualquer uma dessas três não vale mais o seu tempo de investigação.

#Por que um desconto de 40% é um mau sinal, e não uma boa oferta?

Porque a margem não existe. Distribuidores compram cartões de marcas grandes com um desconto pequeno, de um dígito só, sobre o valor de face, e essa fatia é dividida por toda a cadeia. Um desconto de 40% não pode ser sustentado por uma compra legítima, o que só deixa duas opções: estoque que nunca foi comprado, ou que foi comprado com dados de pagamento roubados.

#Um código de gift card pode ser roubado depois que eu recebo?

O saldo pode ser, se o código já tiver sido visível para qualquer outra pessoa. Códigos são instrumentos ao portador: o primeiro resgate vence, e a marca não consegue distinguir um comprador de um ladrão. Compre de um emissor, não de uma pessoa, resgate rapidamente, e nunca publique, fotografe ou cole um código em lugar nenhum.

#Alguém está me pedindo para pagar uma conta em gift cards. Isso pode ser real alguma vez?

Não. Nenhuma autoridade tributária, tribunal, polícia, concessionária, banco ou empregador aceita códigos de gift card, em nenhum país, em nenhuma circunstância. A forma de pagamento já resolve a questão sozinha — você nem precisa avaliar a história nem verificar quem está ligando.

#Uma loja quer o hash da minha transação. Isso é normal?

Significa que a loja não consegue associar o seu depósito sozinha, o que geralmente quer dizer que o endereço é compartilhado entre compradores. Um checkout que gera um endereço por pedido enxerga o seu pagamento no instante em que a sua carteira o transmite, e nunca precisa de hash, captura de tela ou recibo.

#Paguei, e agora o pedido precisa de uma taxa de liberação. O que eu faço?

Pare. Nenhum checkout legítimo exige um segundo pagamento para entregar o primeiro. Uma diferença genuína se resolve enviando o valor que falta para o mesmo endereço, e nada além disso — os modos de falha reais estão descritos em problemas de pagamento em cripto. Uma taxa de liberação, verificação ou desbloqueio é o golpe em si, não uma etapa dentro de um golpe.

#Vocês seguram o meu dinheiro se algo der errado?

Não, e isso é proposital. Um pedido sem pagamento ou com pagamento parcial é devolvido na moeda em que chegou, um código não resgatado pode ser reembolsado em até 14 dias, e não existe saldo nem carteira onde deixar fundos parados. Compre o que você está prestes a gastar — é a única postura que não depende de confiar na longevidade de ninguém.

#Onde eu denuncio um golpe de gift card?

Ligue para a marca primeiro; só a marca consegue congelar um saldo, e Amazon, Apple, Steam e Google mantêm linhas de fraude de gift card. Depois, denuncie — reportfraud.ftc.gov nos Estados Unidos, IC3 para qualquer coisa envolvendo cripto, ou o órgão nacional de combate a fraudes do seu país em outros lugares. Guarde o cartão, o recibo e os endereços; uma denúncia sem eles é muito mais difícil de levar adiante. Se o pedido que deu errado foi um feito com a gente, comece por aí.