Решайте вопрос через саппорт upwork. Заказчик подтвердил что работы по тз были выполнены в полном объеме и контракт закрыт. То что сейчас хочет заказчик - это его проблемы. Любые доделки через контракт. Поставьте вопрос перед саппортом о блокировке аккаунта заказчика
Если Ваши пользователи имеют доменные учетки, то эти учетки можно поместить в группу пользователей удаленного подключения. Все остальные пользователи подключится не смогут.
Экспертиза кода может проводится если продукт был официально зарегистрирован через регистрацию программы для ЭВМ, что подтвердит принадлежность данного кода первому проекту.
Если человек не давал подписок о неразглашении или в трудовом договоре не было указано, что все что им создано принадлежит первому проекту.