Как защититься от авторизации ботов?
Раз это именно авторизация то отказаться от sms. Сделать подтверждение почтой или в мессенджерах. Или подтверждение по OTP.
Другой вариант, если аудитория конкретной страны то можно:
1 ограничить доступ по IP подсетей страны. Т.е. доступ только для страны
2 ввести проверку введённых номеров, по коду оператора
3 ввести проверку введённых номеров по наличию в твоей БД, у тебя же именно авторизация а не регистрация
4 ввести лимит по запросам до api с IP адреса обратившегося
5 усложнить обращение к апи путем введения временного ключа, ключ уникальный для каждого клиента. Видишь что с одним ключем много обращений то банишь юзверя.

Проще уйти на OTP\почту\мессенджеры.
ну они же наверное указывают номера на которые слать sms, делай рейт лимиты, задержку на количество смс/авторизаций на ip/номер ограничение по кодам стран и тд.
для сервера можно использовать фильтрацию по geoip