Найти баг на сайте (БЕЗОПАСНОСТЬ)

Доброго времени суток.

Есть своя сеть сайтов кранов биткоин, с одного из них уже в 3-й раз сливают сатоши.

Дано:

Правильный ответ от сервиса капчи воспринимается сайтом как пусковой механизм для создания транзакции перевода денег пользователю сайта на прямую выплату, за ней создается транзакция на реферальную выплату. При негативном ответе от сервиса капчи никакой транзакции не создается.

Проблема:

некий скрипт своими манипуляциями заставляет сайт-кран создать реферальную транзакцию.

Найти:

нужно определить уязвимость, где находится баг на самом сайте и воспроизвести сторонний скрипт для дальнейшего изучения его возможностей и способов защиты от подобных атак, также устранения бага на своем сайте -кране.

Дополнительно:

По логам видно, что некий скрипт якобы посылает правильный токен сервису капчи, следовательно сервис капчи дает добро на транзакцию самому сайту-крану, НО. прямая выплата что должна быть первой в 100% случаев пересылается только в 0.5% случаев, следовательно сервис капчи дает отказ сайту, но реферальная транзакция проходит в 100% случаев, что быть без прямой выплаты впринципе не может. Всего запросов скрипта 3, разница между 1 и 2 от 5 до 12 секунд (время загрузки капчи), первый запрос страницы сайта, второй эмуляция действий человека (мышь), третий посыл кошелька для прямой выдачи и токен для капчи. Период между 2 и 3 запросом - доли секунды, что говорит о том что капча не затрагивается вообще(это самое защищенное место в сайте). Хоть сливают с сайта и копейки (0.2-0.25$)? но все равно не приятно и грозит срывом проектов предназначенных к скорому запуску. поэтому время как всегда горит на решение данной задачи.

Цена вопроса 20К рублей. Справитесь - постоянная работа по безопасности в 7-ми довольно крупных проектах, оклад.

Единственная просьба:

- посредники

- начинающие

- любители предоплат

- неврастеники

проходите пожалуйста мимо, посредники и начинающие вычисляются с первых же вопросов, все остальные после первичного обсуждения, поэтому пожалуйста не тратьте мое и свое время.