Просто давайте пользователю информацию об использовании аккаунта, что бы он заметил активность, когда его не было.
Если уж очень хочется что-то сделать, в голову вот сейчас пришло, на правах концепции (хотя сам бы не стал с этим морочиться):
Токен периодически обновляется - принимаем старый валидный, меняем что-то в базе, выдаем новый валидный. Это не поможет от угона и использования кем-то, но считаем, что у нас не такой критичный сервис (раз мы не делаем таймаут сессии с новым запросом пароля). Когда заходит оригинальный владелец - видим старый токен и спрашиваем у пользователя пароль, ну и говорим ему, что кто-то его поюзал... ну или не говорим, ну и инвалидируем все токены.
