Тысячи запросов к пользовательскому API и инвалидация

В этом случае возможны два варианта. Либо у пользователя два iPhone с одинаковым именем устройства, либо он в какой-то момент удалил приложение и установил его заново. В обоих случаях у него будет несколько API-ключей.