Мошенничество с крипто-подарочными картами: фальшивые магазины, слитые коды, навязчивые незнакомцы

Три разных вида мошенничества скрываются под одним названием. Есть магазин, который забирает ваши монеты и ничего не присылает взамен. Есть код, который приходит точно как обещано, а при попытке его использовать оказывается, что он был потрачен за час до вашей покупки. И есть незнакомец — по телефону, в почте, в окне чата, — который вообще ничего не продаёт, а просто хочет, чтобы вы зачитали ему вслух шестнадцать цифр. Это не вариации одной и той же схемы. У них разные жертвы, разные признаки и разная защита, и только в двух из трёх случаев вообще что-то покупается.

Их объединяет свойство, которое роднит криптовалюту и коды подарочных карт: обе операции необратимы только в одну сторону. Подтверждённую транзакцию нельзя отозвать, а погашенный код нельзя «разгасить» обратно. Сложите эти две необратимости друг на друга — и вы почти случайно получите идеальный инструмент для отъёма денег у незнакомых людей. Всё, что дальше, — о том, как распознать эту связку прежде, чем вы окажетесь внутри неё.

#Три вида мошенничества бок о бок

Прежде чем переходить к деталям — общая картина. Почти любой инцидент в этом уголке интернета сводится к одной из этих трёх схем, и, поняв, с какой именно вы столкнулись, вы сразу понимаете, что делать дальше.

Третья схема — самая массовая с большим отрывом, и единственная, где все коммерческие участники цепочки ведут себя честно. Именно из-за неё существует руководство FTC для потребителей по мошенничеству с подарочными картами, и его стоит прочитать, даже если вы никогда в жизни не купите карту за крипто.

#Схема первая: магазин, который ничего не доставляет

Именно её имеют в виду, когда спрашивают, не мошеннический ли тот или иной крипто-магазин подарочных карт. Это же и самая простая из трёх схем для защиты: мошенничество приходится выстраивать заранее, до вашего появления, а любое строительство оставляет следы.

Механика скучная. Поднимают сайт с каталогом, скопированным у настоящего магазина, оплатой, которая выдаёт адрес кошелька, и «поддержкой», которая живёт в мессенджере. Вы платите. Либо не происходит вообще ничего, либо — более прибыльный вариант — сайт сообщает о проблеме и просит второй платёж, чтобы её решить: комиссию сети, депозит за верификацию, плату за разблокировку крупного заказа. Именно этот второй платёж и есть вся бизнес-модель. Первый платёж доказывает, что вы готовы платить; заработок — во втором.

#Скидка выдаёт мошенника

Начните с цифры на главной странице — она отвечает на вопрос быстрее всего остального.

Подарочные карты — не товар с высокой маржой. Ритейлер продаёт собственные карты по номиналу, а дистрибьютор покупает их с небольшой, однозначной по цифре скидкой от номинала — и именно эту тонкую прослойку и делит между собой вся цепочка. В её рамках работают все перепродавцы, агрегаторы и крипто-магазины мира. Именно поэтому настоящая скидка на карту крупного бренда — это несколько процентов, и именно поэтому у нас скидка не превышает 5% — это примерно тот потолок, который допускают честные закупки.

Поэтому когда магазин рекламирует скидку 30%, 40% или 60% на карту Amazon или Apple, это не более выгодное предложение на тот же товар. Не существует цепочки поставок, в которой такую карту закупили бы со скидкой 40%. Либо её вообще не закупали, либо её купили по чужим украденным платёжным данным — а это уже вторая схема мошенничества из этой статьи, а не первая, и в итоге у вас на руках окажется код, который бренд аннулирует в момент, когда придёт чарджбэк.

Скидка намного больше 10% на карту крупного бренда — это не выгодная сделка. Это указание на происхождение товара.

#Общий адрес — технический признак мошенничества

Вторая проверка специфична именно для крипты, и до неё почти никто не додумывается. Настоящая оплата генерирует новый адрес для депозита под ваш заказ и ни для чего больше. Это не любезность. Это единственный способ для системы без аккаунтов отличить ваш платёж от всех остальных, и именно это позволяет поступившему депозиту самому себя идентифицировать.

Фальшивые магазины редко утруждают себя этим. Они публикуют один адрес — тот же самый, что закреплён у них в канале, тот же, что на скриншоте недельной давности, тот же, что вам дадут при повторном заказе. А затем просят прислать хеш транзакции, чтобы «подтвердить» платёж, — потому что с общим адресом они и правда не могут сопоставить депозит с конкретным покупателем.

Если у вас просят прислать хеш транзакции — значит, магазин не способен сам распознать ваш платёж. Иногда это говорит просто о недоработанном магазине, а не о мошенническом. Но хорошим знаком это не бывает никогда. Правильно настроенная оплата начинает следить за адресом в ту же секунду, когда ваш кошелёк транслирует транзакцию в сеть, — и именно это изнутри описывает разбор в статье о проблемах с крипто-платежами.

#Десять проверок на одну минуту

Ни для одной из них не нужен аккаунт, покупка или технические навыки. Пройдите их по порядку — первые три отсеивают большую часть того, что встречается на практике.

Последний пункт требует оговорки. Отзывы на сайте самого магазина сами по себе не стоят ничего — включая наш сайт. Ищите обсуждения там, где у магазина нет редакционного контроля, и опирайтесь именно на них. Та же логика применима к сравнительным статьям, которые пишут сами продавцы, — поэтому наше собственное сравнение ссылается на справочную документацию каждого конкурента, а не просит поверить нам на слово насчёт их политик.

#Схема вторая: код, который уже потратили

Эта схема хитрее, потому что вы действительно что-то получаете. Настоящий код, правильно оформленный, нужного бренда. Вы вводите его — а баланс нулевой, или бренд вообще отказывается его принимать.

Код подарочной карты — это инструмент на предъявителя: баланс принадлежит тому, кто первым его ввёл, а бренд не способен отличить покупателя от нашедшего или от вора. Именно поэтому такой формат удобен — и именно поэтому перепродажа кодов опасна. На коде нет имени, а значит, и возвращать баланс попросту некому.

Коды попадают на площадки со скидками тремя путями, и безопасен из них только один:

• Действительно ненужные карты. Кому-то подарили карту магазина, которым он никогда не пользуется, и он продаёт её ниже номинала. По сути легитимный случай, и именно ради него площадки перепродажи вообще существуют.
• Карты, купленные по украденным платёжным данным. Код настоящий и с деньгами на балансе — ровно до того момента, когда через несколько недель приходит чарджбэк и бренд обнуляет баланс. А держателем кода к этому моменту оказываетесь именно вы.
• Сфотографированные коды. Код, который кто-то увидел — работник склада, предыдущий покупатель, скриншот в групповом чате, — остаётся рабочим для того, кто погасит его первым. Продавец при этом может быть абсолютно честен и всё равно продать вам пустышку.

На глаз эти три случая не отличить — и площадка тоже не отличит. Защита здесь не в проверке, а в самой структуре покупки: покупайте у того, кто код выпустил, а не у того, кто им просто владеет. Карта, которая попадает к вам в почту прямо из официальной дистрибуции бренда, не успевает побывать ни у кого на фото и не связана ни с каким обратимым платежом.

А затем сразу же его погасите. Не потому, что коды «протухают», а потому, что ваше право на баланс действует лишь до тех пор, пока вы первые. Если код не принимается, наш гид по решению проблем с погашением карты отделяет скучные причины — региональное несоответствие встречается чаще всего остального вместе взятого — от тех, что означают: код изначально был не вашим.

#Схема третья: незнакомец, который хочет получить оплату кодами

Это самая массовая из трёх схем и единственная, где каждый магазин в цепочке ведёт себя правильно. Вы покупаете настоящую карту у настоящего продавца. А затем зачитываете цифры с неё тому, кому их знать не следовало.

Сценарии меняются постоянно, структура — никогда. Кто-то выходит на связь, создаёт ощущение срочности и называет подарочные карты способом оплаты. Это может быть налоговая, которая грозит арестом, коммунальная служба, готовая вот-вот отключить свет, «специалист», который «нашёл» проблему в вашем компьютере, руководитель, которому срочно нужны карты для сотрудников, а сам он застрял на совещании, партнёр, которого вы никогда не видели вживую и которому нужна разовая помощь, работодатель, который якобы переплатил вам и просит вернуть разницу, или приз, для получения которого нужно сначала оплатить какой-то сбор.

Подарочные карты выбирают не случайно. Они продаются в любом супермаркете, засчитываются в ту же секунду, когда цифры произнесены вслух, перепродаются за крипто за считаные минуты, и — в отличие от оплаты картой или банковского перевода — в этой цепочке нет ни одного института, способного их отменить. Банковский перевод иногда ещё можно отозвать. Зачитанный вслух код — уже нет.

#Правило, которое обрывает разговор

Ни одно государственное ведомство, суд, налоговая служба, полиция, коммунальная служба, банк, авиакомпания, больница или работодатель никогда не принимали оплату кодами подарочных карт. Ни разу, ни в одной стране, ни по какой причине. Здесь нет исключений, нет легитимных пограничных случаев, нет отдела, который делает иначе. Если запрашиваемый способ оплаты — подарочная карта, значит, перед вами мошенничество, и оценивать в разговоре больше вообще нечего.

Это единственное правило закрывает всю категорию целиком, включая варианты, о которых пока никто даже не слышал. Легенды меняются от сезона к сезону; неизменным должен оставаться именно способ оплаты — потому что именно на нём и держится вся схема.

#Два варианта эпохи крипты

Стоит назвать два более новых варианта — оба придуманы так, чтобы обойти правило выше.

Обмен карты на крипту. Вам говорят купить подарочную карту, а затем обменять её на криптовалюту — «потому что перевод так быстрее» или «потому что платёжный портал не работает». Это отмывает исходную просьбу через шаг, который выглядит техническим и добровольным. Схема ровно та же. Карту просто прогоняют через один лишний шаг перед тем, как её потратят.

Служба «возврата» средств. После того как вы уже потеряли деньги, появляется кто-то, кто предлагает отследить или вернуть их за предоплату — что характерно, тоже подарочными картами или крипто. Компании, занимающиеся блокчейн-аналитикой, действительно существуют, но работают они на правоохранительные органы и биржи, а не на частных лиц, которые написали им первыми. Никто, кто сам вышел на вас по поводу уже потерянных денег, эти деньги вам не вернёт. На странице FTC о том, что делать после мошенничества перечислены настоящие способы — и ни один из них не требует предоплаты.

#Что показывает настоящая крипто-оплата

Легитимную оплату проще распознать, чем перечислить все возможные подделки, — потому что легитимной версии приходится показывать определённую «начинку», иначе она просто не заработает. Семь вещей должны быть видны сразу, без каких-либо вопросов кому бы то ни было:

• Адрес для депозита, принадлежащий именно вашему заказу. Создаётся в момент выбора монеты и используется один раз. Именно это убирает необходимость в аккаунте, логине или подтверждении платежа.
• Сеть, указанная рядом с адресом. Tron, Ethereum, Solana — написано прямым текстом, а не подразумевается по тикеру. Отправка не в ту сеть — единственный сбой в крипто-платежах, который никто не может отменить, и магазин, скрывающий сеть, подставляет вас именно под него.
• Курс с видимым сроком действия и прописанной политикой на случай его истечения. У нас цена фиксируется на время обратного отсчёта, а опоздавшие депозиты подхватывает 48-часовая восстановительная проверка — по курсу на момент самой проверки. Важна здесь не столько конкретная политика, сколько то, что она вообще заявлена заранее.
• Статусы заказа в реальном времени. Страница должна переходить из «Ожидания» в «Подтверждается» в момент, когда ваш кошелёк транслирует транзакцию, — без перезагрузки страницы и без необходимости куда-либо сообщать об оплате.
• Одна итоговая сумма и никаких повторных просьб. Здесь никогда не бывает платы за освобождение, депозита за верификацию или комиссии за разблокировку. Если платёж пришёл не полностью, для этого есть прописанная процедура — доплатить разницу на тот же адрес либо забрать средства обратно.
• Заказ, который можно открыть заново. Поиск заказа принимает номер заказа и email, указанный при оплате, и остаётся доступным 14 дней. Отсутствие аккаунта означает отсутствие пароля, который можно потерять, — но не должно означать отсутствие записи о заказе.
• Условия с чётко названными сроками. Наши условия изложены в пользовательском соглашении и кратко пересказаны в FAQ: до выпуска кода заказ можно вернуть в той монете, в которой он поступил; после доставки непогашенный код можно вернуть в течение 14 дней. Как только код погашен у бренда, отменить это уже не может никто.

Из этого последнего пункта прямо вытекает следствие, которое наши условия формулируют без обиняков, — и ему место в этой статье, а не только на странице с политиками: код, который вас уговорили зачитать вслух, возврату не подлежит. Ни у нас, ни где-либо ещё. Срок возврата защищает вас от кода, который не сработал; но ничто не защитит вас от кода, который прекрасно сработал — просто не для вас, а для кого-то другого.

#Что мы можем доказать, а что нет

Гид по безопасности от самого магазина стоит читать, только если магазин честен насчёт пределов собственной убедительности. Так что вот наши пределы.

Что можно проверить прямо сейчас, не веря нам на слово: адрес для депозита новый для каждого заказа; сеть указана рядом с ним; статусы меняются сами; нигде в процессе нет повторного платежа; сроки возврата и доставки прописаны ещё до оплаты; заказ можно открыть заново без аккаунта; статьи в этом журнале датированы и открыто редактируются; а каталог честно сообщает, если карта привязана к региону, вместо того чтобы делать вид, будто всё работает везде.

Чего проверить нельзя: что мы будем существовать и через пять лет. Ни один бизнес без KYC не способен это доказать, и если кто-то утверждает обратное — он говорит о том, чего сам не знает. Мы берём только email и ничего больше — в этом и суть модели, и именно поэтому утекать здесь почти нечему, — но та же схема означает, что никакой регулятор не держит депозит в вашу пользу.

Поэтому правильное отношение к любому магазину этой категории, включая нас самих, — это нечто более узкое, чем доверие: относитесь к нему как к контрагенту для одной-единственной сделки, а не как к месту для хранения ценностей. Покупайте ровно ту сумму, которую собираетесь потратить. Гасите код сразу по получении. Не накапливайте баланс нигде — ни у нас, ни у конкурентов. Этот совет невыгоден нам самим, и от этого он не перестаёт быть правильным.

#Если это уже произошло

Скорость — единственное, что всё ещё в ваших руках. Код, о котором сообщили бренду в течение нескольких минут после того, как его зачитали вслух, иногда успевают заблокировать до того, как с него всё спишут. Тот же звонок через час почти никогда уже не помогает.

Сообщайте о случившемся, даже если вернуть деньги уже не выйдет. В США для этого есть reportfraud.ftc.gov, а для всего, что связано с криптовалютой, — IC3 от FBI; в других странах — национальный орган по приёму жалоб на мошенничество. Именно жалобы превращают один кошелёк, собравший деньги со ста жертв, в одно уголовное дело — а не в сто отдельных личных разочарований.

#Часто задаваемые вопросы

#Покупать подарочные карты за крипто — это мошенничество?

Нет — это обычная розничная покупка с не совсем обычным способом оплаты. Риск не в самой модели, а в контрагенте, точно так же, как при любой другой покупке в интернете. Разница в том, что такой платёж нельзя опротестовать через чарджбэк, а значит, цена ошибки при выборе магазина выше, — именно поэтому проверки выше стоят той минуты, которую на них тратишь.

#Как понять, что крипто-магазин подарочных карт легитимен?

Пройдите десять проверок из этой статьи. Три из них отсеивают большинство подделок: размер скидки, уникален ли адрес депозита для вашего заказа и просят ли повторный платёж уже после оплаты. Если магазин проваливает хотя бы одну из этих трёх — дальше разбираться уже не стоит.

#Почему скидка 40% — это плохой знак, а не хорошая сделка?

Потому что такой маржи попросту не существует. Дистрибьюторы закупают карты крупных брендов с небольшой, однозначной по цифре скидкой от номинала, и эта прослойка делится на всю цепочку целиком. Скидку в 40% невозможно профинансировать легитимной закупкой — значит, перед вами товар, который либо вообще не покупали, либо купили по украденным платёжным данным.

#Можно ли украсть код подарочной карты уже после того, как я его получил?

Баланс — можно, если код хоть раз был виден кому-то ещё. Коды — это инструменты на предъявителя: побеждает тот, кто погасил код первым, а бренд не отличает покупателя от вора. Покупайте у эмитента, а не у частного лица, гасите код сразу и никогда нигде не публикуйте, не фотографируйте и не вставляйте его текст.

#У меня просят оплатить счёт подарочными картами. Может ли это быть законным?

Нет. Ни налоговая служба, ни суд, ни полиция, ни коммунальная служба, ни банк, ни работодатель не принимают коды подарочных карт — ни в одной стране, ни при каких обстоятельствах. Сам способ оплаты уже всё решает — не нужно ни оценивать историю, ни проверять личность звонящего.

#Магазин просит хеш моей транзакции. Это нормально?

Это значит, что магазин не способен сам сопоставить ваш депозит, а чаще всего это означает, что адрес общий для всех покупателей. Оплата, которая выдаёт отдельный адрес под каждый заказ, видит ваш платёж в момент, когда кошелёк транслирует транзакцию, и хеш, скриншот или чек ей никогда не нужны.

#Я оплатил, а теперь заказ требует комиссию за «освобождение». Что делать?

Остановитесь. Ни одна легитимная оплата не требует второго платежа, чтобы доставить то, что оплачено первым. Настоящая недоплата закрывается только доплатой разницы на тот же адрес и ничем больше — реальные причины сбоев разобраны в статье о проблемах с крипто-платежами. Комиссия за освобождение, верификацию или разблокировку — это и есть само мошенничество, а не шаг внутри него.

#Вы держите у себя мои деньги, если что-то пошло не так?

Нет, и это осознанное решение. Неоплаченный или частично оплаченный заказ возвращается в той монете, в которой он поступил, непогашенный код можно вернуть в течение 14 дней, а никакого баланса или кошелька, где деньги могли бы просто «лежать», у нас нет. Покупайте ровно то, что собираетесь потратить, — это единственная стратегия, которая не зависит от того, доверяете ли вы чьей-то способности просуществовать долго.

#Куда сообщить о мошенничестве с подарочной картой?

Сначала позвоните бренду — только бренд может заблокировать баланс, а у Amazon, Apple, Steam и Google есть собственные линии по мошенничеству с подарочными картами. Затем подайте жалобу — reportfraud.ftc.gov в США, IC3 для всего, что связано с крипто, или в национальный орган по борьбе с мошенничеством в других странах. Сохраните карту, чек и адреса — без них с жалобой почти невозможно работать. А если проблема возникла с заказом, оформленным у нас, начните сразу с обращения к нам.