Приложение, которое вы исключили из VPN на Android, может привязать сокет к tun0 , пройти через ваш туннель и узнать адрес сервера. Летом мы взялись закрыть это в AmneziaVPN ( issue #2457 ). Сама проверка в AmneziaWG уместилась в одну строчку цикла, который читает пакеты из tun: if…