Прощелкал момент с атомарностью: даже если кажется, что операция единая, в БД может быть два шага, между которыми влезает чужой запрос. Single-packet attack реально выносит этот зазор из тени — показывает, что баги из-за гонок не просто теоретика, а сейчас их можно стабильно поймать. Главное — не полагаться только на ORM и пытаться свести все проверки и обновления к одному запросу без лишних задержек.