Ручное блокирование IP-адресов по частоте запросов на токены + интеграция с сервисами типа AbuseIPDB помогает быстро вычислять ботов. Добавляйте к этому CAPTCHA на критичных страницах (например, после 3-4 неудачных попыток) — это сбивает автоматизированные атаки.
