Visa / Mastercard предоплаченные карты

В лучшем случае, это был некий MVP стартапа, который просто "не справился, не смог". Например развел неопытных инвесторов, которые проинвестировали в чернушный проект и не заметили огромную дырищу в безопасности by design, из-за которой он в принципе не мог работать, как бы по определению. Но вот в это слабо верится.

Формально они еще не соскамились официально, но множеству людей (которые отправили свои USDT, но до сих пор их кормят завтраками) от этого не легче.

Все там привязывалось, сначала давали команду боту на сумму пополнения, он фиксировал эту сумму и время создания заявки + после перечисления сразу отправляли хэш. Этого достаточно чтобы привязать платеж к клиенту.

да это самое интересное, разнообразие стран карт поражает.

Каким образом это защищает от зачисления атакующим чужого платежа (что похоже массово и происходило)? 

Решается это банально индивидуальными (суб)адресами для пополнения (есть и другие варианты).

Если бы была цель стабильно долгосрочно работать, то это было бы реализовано.

В т.ч. поэтому больше напоминает, скорее не просто банальный скам-проект, а очередной сервис по отмыву грязного бабла (вряд ли напрямую краденых карт, скорее со счетов с последующим выпуском карт - т.к. чачи мерчантам уже бы должны начать приходить, и пусть с некоторым лагом, но какие-то клиенты это бы заметили) в крипту под видом бесплатной продажи якобы препейда. Именно очередной, потому что таких полно.

Буду рад если ошибаюсь, т.к. иначе потеря USDT частью их клиентов это лишь цветочки (им получается, скорее повезло, по сравнению с остальными)...

Это имеет смысл лишь для компаний, которые не принимают криптовалюту.

А карты, я так понимаю, все без 3DS? Ведь по-любому к номеру телефона они никак не привязываются, чтобы подтверждать операции по SMS? Если так, то и заплатить такими картами много где не получится, сейчас всё больше мерчантов требуют 3DS. Разве что, кроме США.

Через сайт stripe выбираешь куда получить код на телефон или емеил при оплате.  Почта и телефон те которые указал при регистрации у bankoff.

атакующий должен обладать даром предвидения, ибо создать заявку на определенную сумму раньше юзера и при этом отправить хэш раньше юзера без сверхспособностей сделать невозможно.