Запоминать событие нажатия кнопки в связке с уникальным id пользователя очевидно, - осуществлять суммирование событий с одинаковым id пользователя и проверку на превышение им порога.
Либо сразу переменную под пользователя заводить при первом событии и инкрементировать, и проверять ее на превышение порога.
Если один пользователь нажимая на кнопки может вызвать ddos у бота, то что то не так ты там сделал
на практике достаточно пользователю ограничить нажатие кнопки чаще чем определенное количество за N секунд, для этого сохраняешь в боте последние нажатия с timestamp их нажатия не больше time()-Nsec, и если количество записей в этом списке больше лимита (например 10) - возвращаешь сообщение - 'я тебе потыкаю, не тыкай мне'
