Der BUG kam bei mir auch vor.
User haben einfach eine File erstellt und einen Banner unter Werbung buchen eingebucht.
Dieser Banner verlinkte dann auf diese File.
Durch den Klick auf diesem Banner überweist man automatisch an den in der File angegebenen Account.

Lösung:

Evtl. sollte jmd. das so proggen, das man bei einer Überweisung einen Sicherheitscode angeben muss.

Denke das ist das einfachste.