Подделка платежей одной curl: вебхук ЮKassa доверял полю из тела запроса
Технический аудит сервиса аренды авто выявил: вебхук /payments/webhook/yukassa проверял только существование gateway_payment_id, а статус брал из поля event, которое присылает клиент. Для перевода брони в «оплачено» достаточно было POST с {"event": "payment.succeeded"}. Исправление (патч 8 июля) теперь запрашивает статус платежа напрямую из API ЮKassa, игнорируя тело вебхука.