E mesmo o caso de 2 fiéis com a mesma máscara (apesar da chance disso ser 1 em 1 milhão, pois você tem 6 dígitos) é passível de solução, pois você pode - dado um CPF que você acha que fez o Pix - fazer GET em /pix com inicio/fim/CPF e se tiver resposta é esse CPF mesmo, se estiver vazio não é.