Справедливости ради, ситуация развивалась так:
1. Кошельки Яндекс-деньги: можно почти всё, антифрод работает без жести. Вход по логину-паролю.
2. Покупка Сбером: блокируем всё подряд, в блок улетают любые кошельки со статусом "именной". Вход только с телефоном.
3. Год со Сбером: "ну ладно, будем локать отдельные платежи, вход с по старым кукисам тоже разрешим".

Грубо говоря, Сбер закрутил идентификацию - на любой чих теперь нужен код из смс, а не дай бог платежи не туда уходят - получи лок.
Но немножко подраскрутил антифрод - в бан улетают не кошельки сразу, а отдельные операции поначалу.

В золотые времена Яндекса всё, что нужно было - логин-пароль, аварийные коды, и свобода действий была практически безграничной.