Разраб этого чуда поленился даже SSL прикрутить. Авторизация идет по голому HTTP, сервер отдает JSON, а клиент его хавает без проверки подписи. Это не защита, это решето. VMProtect сверху накинули чисто для вида, чтобы школьники думали, что там «элитный код», а внутри — паста с гитхаба