Apesar de você receber mascarado, você pode confirmar se é mesmo o CPF que você imaginava usando filtro. Por exemplo, você recebeu que é 000..-00 ... aí dos documentos fiscais que você emitiu, tem 000.123.456-00 e 000.111.111-00. Você pode fazer GET nesse pix identificado por datainicio/datafim e algum dos parâmetros dele (como o txid), e ver quais desses 2 que de fato fez o pagamento.