И что добавить на сайт, чтобы этого избежать?

Здравствуйте, Максим.

В предложенной Вами модели избежать рисков со стороны закона у Вас никак не получится.

То, что Вы предлагаете это азартная игра в чистом виде (п. 1 ст. 4 Федерального закона от 29.12.2006 N 244-ФЗ «О государственном регулировании деятельности по организации и проведению азартных игр и о внесении изменений в некоторые законодательные акты Российской Федерации»)

1) азартная игра — основанное на риске соглашение о выигрыше, заключенное двумя или несколькими участниками такого соглашения между собой либо с организатором азартной игры по правилам, установленным организатором азартной игры;

Вы и имеете здесь основанное на риске соглашение (случайное выпадение приза в коробке, на которую игрок делает ставку), а то что выигравший получает не деньги, а имущество никакой роли не играет.

Организация азартных игр в интернете запрещена, если это не это не букмекерская контора и не тотализатор (п. 3 ст. 5 Федерального закона от 29.12.2006 N 244-ФЗ «О государственном регулировании деятельности по организации и проведению азартных игр и о внесении изменений в некоторые законодательные акты Российской Федерации»)

3. Деятельность по организации и проведению азартных игр с использованием информационно-телекоммуникационных сетей, в том числе сети «Интернет», а также средств связи, в том числе подвижной связи, запрещена, за исключением случаев приема интерактивных ставок и выплаты по ним выигрышей организаторами азартных игр в букмекерских конторах или тотализаторах в соответствии со статьей 14.2 настоящего Федерального закона.

Соответственно, чтобы бы Вы не внесли в пользовательское соглашение, пока Вы принимаете ставки на риск и предлагаете выигрыши, то Вас могут привлечь к уголовной ответственности по ст. 171.2 УК РФ.