> Но так, чтобы какой-либо пользователь-злоумышленник не
> смог наплодить миллиард аккаунтов и задосить сервер?

1) Потребовать разрулить капчу.
2) или proof of work при логине и периодически чтобы онлайн висеть. Тогда миллиард аккаунтов станет довольно затратным в содержании и на ддос придется нескольким датацентрам пахать а это уже дорого.