Die Kontoidentität wird in der Datenbank durchgesetzt, nicht im Browser: Eine verifizierte Telefonnummer ist unter aktiven Konten eindeutig, Saldoänderungen laufen nur über geprüfte serverseitige Funktionen, und das Transaktionsregister ist reines Anhängen.

Geheimnisse wie Zahlungsschlüssel erreichen nie den Client-Code. Um eine Schwachstelle zu melden, nutzen Sie die Kontaktseite mit genügend Details zur Reproduktion, und legen Sie sie bitte nicht öffentlich offen, bevor wir geantwortet haben.