Нет нельзя, однако, если у вас будет какая-нибудь система авторизации, она позволит, например, отозвать/перевыпустить токен при подозрениях на компрометацию и тем самым ограничить доступ к API для атакующего. Только вопрос в таком случае ещё к тому как вы это мониторите
Хм, тоже вариант, но тут уж проще тачку погасить