Решено: поднял на сервере, на котором крутится скрипт туннель, через него попытался повызывать api из браузера — пустой ответ. Попытался зайти в ВК от пользователя, от имени которого работало приложение — ВК попросил подтвердить номер, ссылаясь на то, что я захожу из неизвестного источника. Подтвердил — api заработало.
Все это довольно странно — долгое время скрипт работал, ip не менялся и внезапно — security block.