Как защитится от растраты денег злоумышленником при смс авторизации?

Как защитится от растраты денег злоумышленником при смс авторизации?

Элементарно.
Перед авторизацией проводить аутентификацию, в результате СМС будет рассылаться только зарегистрированным пользователям.

Зарегистрированный пользователь проходит аутентификацию например с помощью логина и пароля, и в случае успеха дополнительно по SMS.

Так же можно анализировать рассылки SMS - ставить таймауты при большом количестве запросов. Но это легко обходится либо создает проблемы обычным пользователям.

Судя по всему большинство ваших пользователей живут в вашем городе - ставьте таймаут побольше для тех кто приходит из других регионов - разные прокси, VPN и ноды тора.

Единственно что вы можете ограничить, это запрет отправки смс на номер уже зарегистрированного аккаунта, делать задержки. Но каждая попытка злоумышленника войти под существующем номераом будет слать смс владельцу аккаунта и очень скоро это не вас, а пользователей начнет беспокоить. Подключите ЕСИА. Соответственно ботнет за 10$ или простой burp suit вам доставить очень много проблем из-за поделки пакетов, либо множественной регистрации и последующей отправки смс от ботов. Если конечно кто-то вами заинтересуется. А так начните с сайта:
https://www.owasp.org/index.php/Authentication_Che...