Денежная ловушка или эксплуатация BAC биллинга

Кто-нибудь оплачивает свою корзину, не проверяя досконально каждый товар? Может быть у кого-нибудь родственники скидывают свою корзину?

История, когда сочетание простых багов, которые может найти каждый приводило к импакту кражи денег.

* IDOR
* Отсуствие проверки созданного инвойса с суммой заказа - можно создавать на любую сумму
* Связь инвойса с кошельком
* Возврат средств на кошелек при отмене тому кто создал инвойс, а не оплатил
* Создание ситуации, когда "жертва" всегда вынуждена отменить оплаченный заказ

https://habr.com/ru/articles/954312/