Задача с определением IP игрока (дин. или статик.) определяется довольно просто: сверяем айпишники двух разных дней (ну или трёх для точности).
Если динамик - игрок неудачник и может запросто просрать свой аккаунт.
Если же статик - можно высылать подтверждение входа на email или в соцсети. Сейчас почти у каждого есть ВКонтактик.
Поставил простой пароль и не указал контакт для восстановления доступа - значит совсем отбитый, и это твои проблемы.
Можно вообще принудительно заставлять донатеров добавлять метод подтверждения при покупке привилегий. И сразу же подтверждать его, конечно же. Кстати, туда можно высылать информацию о производимой покупке. Ну и совсем красота - высылать код подтверждения для приобретения покупки.
А ещё можно... Добавить функцию контрольного вопроса, например. Конечно, не очень надёжно, поэтому вопросы нужно выбирать с умом (нет, не девичья фамилия матери).