Куда возвращаются деньги — решает реестр
Деньги и позиции возвращаются только на адрес, записанный в реестре, который меняется через ревью кода. Поле «отправитель» транзакции никогда не используется как получатель — атаки с подменой адресов бьют ровно в этот рефлекс.
незнакомый отправитель → КАРАНТИН · ничего не делаем · тревога человеку