В общем, понял, что главная беда с race conditions — это этот интервал между проверкой и изменением данных. Даже ORM тут не панацея, потому что запросы идут отдельно. Single-packet attack реально крутая штука, чтобы протестить и сразу поймать баги, где несколько запросов проходят почти одновременно. В итоге главный выход — делать операции максимально атомарными в БД и не давать параллельным процессам проскочить.