Врага искал, ничего не нашел. Результаты отписал на почту.
Собственно говоря есть еще одна потенциальная возможность - если через иньекцию по расписанию добавляется кривой трейдер с кодом перенаправления, а потом удаляется. Но чтобы это отловить - надо периодически заходить на сайт и смотреть не появился ли какой-то посторонний код на странице. В связи с тем, что сами файлы топов не менялись, другой возможности не вижу на данный момент для перенаправления траффика.