Как защитить кнопку от автоматического клика?
Если просто, то так:
document.body.addEventListener('click', (e) => {
  if(!e.pageX && !e.pageY) {
    e.stopPropagation();
  }
}, true);
При использовании функции клика место клика всегда равно нулю.
Понятное дело его можно обойти, но на клиенте всё можно обойти.)
Я был неправ.

На самом деле, решение простое. Разработчики использовали свойство event'а isTrusted, которое говорит, было событие вызвано дейсвиями пользователя (тогда будет true), или нет (будет false). Они проверяют это значение.

P.S: бэк тут абсолютно ни при чём.