Мошенничество с криптоплатежами против мерчантов (и как его остановить)
В крипте нет чарджбэков, поэтому мошенники атакуют мерчантов иначе: поддельные подтверждения оплаты, «отравленные» адреса, токены-двойники и «верните на этот новый адрес». Рассказываем, как работает каждая схема и какие простые правила её останавливают.
Мошенничество с криптоплатежами против мерчантов редко взламывает блокчейн — оно обманывает людей. Самые частые схемы: фейковые скриншоты оплаты, отравление адресов, токены-двойники, уловки с возвратами и фишинг доступа к панели или кошельку. Лучшая защита — одно правило: считайте заказ оплаченным только тогда, когда ваш шлюз или кошелёк показывает подтверждённый платёж, а не потому, что так говорит клиент.
Ниже — как работает каждая схема, как её заметить и что изменить в процессе, чтобы она не сработала.
Схемы коротко
| Схема | Как работает | Что её останавливает |
|---|---|---|
| Фейковое подтверждение оплаты | Отредактированный скриншот или чужой хеш в чате | Выдача только при статусе «подтверждено» в панели или по вебхуку |
| Отравление адреса | Мелкие переводы с похожего адреса, чтобы вы потом скопировали не тот | Не копировать адреса из истории; сверять адрес целиком |
| Токены-двойники | Вместо настоящего приходит бесполезный токен с названием «USDT» | Проверка по контракту токена, а не по названию — это делает шлюз |
| Уловка с переплатой | «Я отправил лишнее, верните разницу на другой адрес» | Проверять полученную сумму самому; возвращать только на проверенные адреса |
| Фальшивая поддержка и фишинг | Сообщения или сайты, которые просят логин, код 2FA или сид-фразу | Настоящая поддержка не просит секретов; закладки и 2FA |
1. Фейковые скриншоты и хеши транзакций
Покупатель присылает скриншот кошелька «Отправлено 250 USDT» или хеш чужого платежа и торопит с отправкой. Отредактировать скриншот — дело секунд.
- Один счёт на заказ — у каждого заказа своя сумма и страница оплаты, и платёж сопоставляется автоматически.
- Выдача только при «подтверждено» — со шлюзом отправляйте товар, когда счёт подтверждён или пришёл подписанный вебхук. См. вебхуки криптоплатежей.
- Если настаивают — откройте хеш в обозревателе блоков и проверьте получателя, токен, сумму и время. Часто это даже не ваш адрес.
2. Отравление адреса
Мошенники присылают на ваш кошелёк копеечные переводы с адреса, который начинается и заканчивается так же, как один из ваших. Позже, копируя «свой» адрес из истории для отправки или передачи, вы копируете их адрес.
- Копируйте адрес из источника — экран получения в кошельке или сохранённые контакты, но не история.
- Сверяйте адрес целиком — а не только первые и последние четыре символа.
- Сначала тест — для крупных выводов и возвратов небольшой тестовый перевод — дешёвая страховка.
3. Токены-двойники
В большинстве сетей любой может создать токен и назвать его «USDT». Если смотреть только на название и сумму, бесполезный токен легко принять за настоящий платёж.
Платёжный шлюз сопоставляет входящие переводы с официальным контрактом токена в конкретной сети, поэтому поддельный токен никогда не отметит счёт как оплаченный. Если вы принимаете платежи на обычный кошелёк, проверяйте адрес контракта в обозревателе. Подробнее о сетях — USDT TRC-20 или ERC-20.
4. Уловки с возвратом и переплатой
«Я по ошибке отправил 500 вместо 50 — верните 450 на адрес моего друга». Иногда никакой переплаты не было, иногда лишние деньги пришли из украденного источника.
5. Фальшивая поддержка, фишинг и захват аккаунта
- Сид-фраза никому не нужна — ни вашему шлюзу, ни разработчику кошелька, ни «службе безопасности». Кто просит — мошенник.
- Заходите в панель из закладки — а не по ссылкам из сообщений или рекламы.
- Включите двухфакторную аутентификацию — и никому не сообщайте коды.
- Защищайте настройки вывода — любое изменение адреса вывода считайте событием безопасности и перепроверяйте.
Короткий антифрод-чек-лист для команды
- Один счёт на заказ с фиксированной суммой и сроком.
- Отгрузка только при статусе «подтверждено» или подписанном вебхуке.
- Никогда не копируйте адреса из истории транзакций.
- Возврат только после проверки полученной суммы своими глазами.
- Секреты — в секрете: сид-фразы офлайн, 2FA включена, вход из закладок.
- Запишите процесс — одна страница, которой следует вся команда.
Безопасный приём крипты с mistKET
mistKET создаёт хостинговый счёт для каждого заказа, автоматически обнаруживает и подтверждает USDT в сети TRON и отправляет подписанные вебхуки — ваш магазин реагирует на реальные ончейн-платежи, а не на скриншоты. Впервые слышите о шлюзах? Прочитайте, что такое криптовалютный платёжный шлюз, посмотрите тарифы, войдите в панель мерчанта или подайте заявку в Telegram: @mistnetwork.
