В случаи взлома и прочего, почему бы не убрать функцию (Если это возможно) удаление персонажей и смена пароля через клиент. А при заходе в ЛК для входа нужно подтверждение кода через телефон или Email. Как например это сделано на WebMoney.