датчик коротких сессий:
Что происходит на сетевом уровне: когда два устройства с одним и тем же Tox-ID одновременно подключены к сети, toxcore может поддерживать только ОДНО соединение с другом. При конкуренции двух одинаковых ID за одно TCP-соединение — соединение формально устанавливается («Онлайн»), но реальные пакеты приложения не проходят. Через ~21 секунду toxcore обнаруживает молчание (FRIEND_PING_INTERVAL = 7s × 3 = FRIEND_CONNECTION_TIMEOUT ≈ 21s) и разрывает соединение («Оффлайн»). Затем всё начинается заново: подключился — 21 секунда — разрыв.
 
Что делает датчик:
При каждом уходе друга в оффлайн считает продолжительность сессии: dur = now − online_since
Если dur < 30 секунд — сессия слишком короткая, считается подозрительной
Если 3 таких коротких сессии произошли в течение 5 минут — блокировка
Если хотя бы одна сессия длилась ≥ 30 секунд — счётчик сбрасывается, это точно не клон.