Как защититься от любых махинаций с донатной валютой?
В нашей игре (онлайн) игроки могут получить донатную валюту (монетки) за рекламу. В момент окончания просмотра отсылается запрос на сервер с информацией о том, каким игроком (JWT Auth) какая именно реклама просмотрена и на серве на аккаунт игрока идёт начисление монет (соответствующее типу рекламы), после чего данные об их количестве обновляются в клиенте игрока просто как строка на экране. У клиента монеты никак в виде числа не хранятся и любое телодвижение с монетами кидает запрос в базу на предмет их количества (не экшен игра, тут можно и подождать пару секунд).
Остались ли в такой схеме места, где потенциальный злоумышленник может накрутить себе валюту?
В этом случе взламывать придется не вашу игру а сам гугловский рекламный сервис, на чем они собаку съели
Если всю информацию о игроке хранить на сервере, то мест где можно схитрить не будет, максимум пользователь может не видеть рекламу, но время ждать придется
