Se ti salvi i codici delle transazioni nel db, ogni volta che ti arriva una conferma di pagamento verifichi se il codice è già nel db, se non c'è, tutto ok, se invece c'è, qualcuno sta cercando di fregarti.