(امنیت) پرداخت درون برنامه ای بازار (تحت سرور)

سلام من یک اپلیکیشن اندروید (تحت سرور) دارم که دارای (پرداخت درون برنامه ای بازار) هست. برنامه من به زبان java نوشته شده در Android Studio 2024.1.1 اما بخش پرداخت بازار (پولکی) به زبان kotlin هست بتازگی یک هکر پیدا شده که تونسته بدون پرداخت پول در فروشگاه من ، محصولات من رو فعال کنه (در واقع با ارسال اطلاعات جعلی به سرور من) من میخوام در php قبل از فعالسازی محصولات ابتدا چک بشه... که آیا واقعا این خرید انجام شده یا اطلاعات ارسالی جعلی هست؟ با استفاده از API بازار محصولات من در کافه بازار 3 مدل هستند : 1. محصولات اشتراکی (چند روزه) 2. محصولات دائمی (فقط یک بار خرید) 3. محصولات مصرفی (امکان خرید دوباره همان محصول) میخوام (پرداخت درون برنامه ای بازار) غیر قابل هک بشه! با تشکر