Полностью согласен, что защита должна быть комплексной. Просто обфускацией и pinning сегодня никого не удивишь — важно раскидывать проверки по коду и связывать их с сервером. Если весь контроль сосредоточен в одном месте, это слишком легко снять. Чем сложнее цепочка, тем дольше реверсеру придется разбираться, а это уже большой плюс.