Il n'existe AUCUNE faille sur Paypal. C'est simplement certains sites marchands amateurs qui utilisent très mal l'IPN de Paypal.
La vidéo que tu as envoyé met en pratique une modification du montant dans la requête qui va mener à la page de Paypal.
Une fois le payement effectué, le montant ainsi que le numéro de transaction et tous les détails de la transaction sont envoyés par le biais d'une simple requête sur le serveur du site sur lequel tu viens de payer par Paypal à la seconde même où tu as payé.
Le site va alors vérifier le payement en renvoyant la requête à Paypal, si c'est OK il enregistre ton payement et fait l'action voulue (enregistre ta commande, te crédite de X points, etc, etc).
Le problème ici c'est que certains développeurs en mousse vérifient SEULEMENT si lorsqu'ils renvoyent la requête de l'IPN à Paypal la réponse est OK, sauf qu'on peut très bien modifier le montant comme c'est réalisé dans la vidéo ou encore l'email de la personne qui va reçevoir le payement, et la requête sera toujours OK du côté de Paypal vu que l'ont à bien payé 0.01 centimes d'€ et que la transaction est OK. Il faut donc impérativement vérifier, si vous utilisez l'IPN que le montant de la transaction correspond à celui de l'item et que l'e-mail de reçeveur est bien le votre.
Il ne constitue en rien un hack, il faut savoir que pour toutes les transactions traités via l'IPN c'est comme si tu payais via la page d'envoi d'argent de Paypal, tu peux très bien changer le prix, l'e-mail de receveur original c'est du côté du développeur de vérifier ça et ce n'est pas le problème de Paypal.
Donc en gros ce type de douille tu pourras uniquement le faire sur des sites de merde qui utilisent l'IPN et qui n'ont pas eu un brin de bon sens pour vérifier la somme reçue avant d'autoriser la commande, et généralement c'est ces mêmes sites qui vérifient manuellement (en se connectant au Paypal du boss et regardent la transaction) avant d'envoyer l'objet, donc concrétement c'est assez useless c'est un peu comme les sites qui vérifient simplement le checksum d'une CB sans vérifier auprès de la banque et qui te valident ta commande, ils ne sont pas dûpes et avant de traiter ta commande ils vérifient eux même à la main.
