И зная этот sig я мог бы, насколько я понимаю, придставляться любым юзером, каким бы пожелал... кхм.
Имей ввиду, что кроме sig есть еще и auth_key, который уникален для каждого юзера.
А именно auth_key = md5(api_id + '_' + viewer_id + '_' + '_' + api_secret_s_vkladki_plateji)