Что мешает подпольщикам копировать знаки и QRкод?
Похорошему нужно было закрыть код стираемой или отрывной шторкой и на сайте или в приложении сделать счетчик кол-ва запросов проверки.
Если уж внедрили систему проверки и индивидуальные коды могли бы и до конца все продумать, а так сделали только видимость защиты