Hocam çok basit yolu var.

Hızlı işlem yaptıkları verileri logla
Threshold’lar belirle: örn. dakikada 60’tan fazla işlem yapan kullanıcıyı “şüpheli” etiketle.
Şüphelilere arada CAPTCHA çıkar.
Gerekiyorsa temporary ban.