Я понимаю, что веб часть (мою часть) где-то развернули и активно исследуют (читай п****т).
Доступ к репозиторию был исключительно у вас? В смысле он был приватный и остальные участники о нем не знали?
как построить доказательную базу имея (пока что) в арсенале только репозитарий с историей разработки и знание о том, что проект был где-то развернут?
История коммитов не играет роли, учитывая, что автора коммитов можно менять, а далее запушить с форсом.
Вы можете посмотреть в сторону неправомерного доступа, однако, если доступ вы предоставляли И NDA не подписывали - это Филькина грамота и доказать ничего не можете.