A identidade da conta é imposta na base de dados, não no navegador: um número de telefone verificado é único entre as contas ativas, as alterações de saldo passam apenas por funções auditadas no servidor, e o registo de transações é somente-acréscimo.

Segredos como chaves de pagamento nunca chegam ao código do cliente. Para reportar uma vulnerabilidade, use a página de Contacto com detalhe suficiente para reproduzir o problema, e por favor não a divulgue publicamente antes de termos respondido.