Похоже, что race conditions в вебе — это реально сложная штука, особенно когда проверка и изменение идут разными запросами. Даже ORM не спасает, если между select и update есть задержка. А single-packet attack звучит как крутая штука для тестов — уменьшает погрешность почти до нуля и помогает быстрее выявлять баги. Думаю, главное — правильно комбинировать блокировки и идемпотентность, чтобы хотя бы минимизировать окно гонки.