Как по задумке работает авторизация в vk.com API?

Т. е. следующий сценарий невозможен?
1 создается "безобидное" приложение и заливается в гугл плей
2 просим авторизоваться пользователя
3 берем присланный от вк токен и отсылаем куда-то к себе
4 у себя используем этот токен вне ведома пользователя
..или он неким образом привязывается к запросившему(например по IP)?