Я когда сам влетел, разбирался.

от имени продавца почте Авито  оплачивает отправление типа Е-ком,  указывается объявленная ценность(до 100к) и если почта потеряет посылку то тут всё хорошо, но поскольку услуги "опись вложения" в этом отправлении нет то и  докупить его отправителю который сдаёт посылку  нельзя , то вот и доказывай потом что отправитель/получатель конкретно отправляли айфон, а не соли пакет.
А покупатель пользуется своим правом вернуть отправление в течение N  минут и делает это  уже неважно с нарушением регламента или нет (и так как описи нет, то и вернуть может что угодно, то есть вместо айфона гречи или соли пакет, равно как и отправитель положить туда что угодно).

Ещё раз:
Ключевой момент атаки — отсутствие описи.
Алё, авита, как слышите, приём!!!
Передавать по API почте флажочек "имеет опись вложения" не пробовали, нет?
Почти год фроду, авита в курсе дела, активных действий чтобы подобное исключить не предпринято.
Вот в этом к вам основная претензия, не задумывались что у вас кто-то сидит и этот схематоз покрывает, нет? Я просто не верю что такая очевидная дырища столько живёт сама, по свой инициативе