Los desarrolladores de mercado pago estan de acuerdo con esto?

Mercado Pago no expone ningún endpoint de API que permita con un token OAuth de un vendedor transferir dinero a otra cuenta de Mercado Pago o retirar a un banco directamente. En su lugar, la documentación describe solicitudes de pago y cobros. Por ejemplo, la guía de Money Requests muestra cómo un usuario (o vendedor) solicita un pago a otro usando su token, enviando un POST /money_requests con el access_token del usuario receptor. Del mismo modo, el flujo de Marketplace permite que la plataforma cree cobros en nombre de vendedores y cobre una comisión, todo basado en OAuth2. En ningún lugar de la documentación hay un método que transfiera el saldo del vendedor a terceros. Si existiera un mecanismo de ese tipo, la documentación lo mencionaría; por el contrario, sólo habla de pagos internos entre cuentas y comisiones.

En resumen: con un token de vendedor solo puedes generar cobros o solicitudes de dinero a nombre de ese vendedor. No puedes iniciar una transferencia a otra cuenta ni un retiro bancario con ese token. La documentación oficial se enfoca en los flujos de cobro (split payments, money requests). De hecho, en la guía de Split Payments se aclara que solo se manejan pagos entre cuentas de Mercado Pago (no se permiten transferencias externas), lo cual coincide con la ausencia de API pública para retiros. Por tanto, se confirma que un atacante no puede usar el token del vendedor para “sacar” dinero a cuentas externas o bancarias; únicamente puede provocar cobros fraudulentos, pero esos fondos irían al vendedor (menos comisiones) o serían devueltos por disputas, pero afectaria la reputacion supongo del vendedor y del marketplace si fuera un split de pagos supongo