Комп, с которого делали заказ, проверяли на троянов?

kolyan2288при пустой корзине заказ не будет возможенПравильное решение. Следует не только не показывать форму, но и не принимать от неё данные.

Возможно, трудно будет смириться с положением дел, однако, боты "атакуют" сайт независимо от наличия корзины и, тем более, от её заполненности. Бывает, цепляются за любую найденную форму. А бывает, тупо шлют POST-запросы на распространённые адреса. В принципе, способы противодействия достаточно известны. Капча, например. Или передача вместе с формой и контроль дополнительных полей.