Checkium

Você pode permitir a flag block-break, e desativar a block-place.

Você está conectando diretamente ao servidor e não ao bungeecord, verifique se está usando o IP ou porta corretos.

Existem sim riscos, um jogador pode usar /server mesmo sem estar logado, movendo do lobby para os outros servidores sem se logar e podendo entrar em qualquer conta, incluindo de staff. Voce precisa remover a permissão "bungeecord.command.server" do grupo default na config do bungeecord para impedir os players de usar esse comando.

Não sei sobre as outras perguntas, mas sobre antibot posso recomendar o AntiBotDeluxe que está no spigot, nunca tive problema com ele e bloqueia quase todos os bots além de ser bem barato.

Acredito que sim

Poderia dar mais alguma informação sobre quando acontece o kick?

A config do plugin que você está usando está codificada em ANSI, o que causa esses problemas, você pode alterar a codificação do arquivo abrindo ele no notepad++ e selecionando a opção Encoding -> Encode in UTF-8. Talvez seja necessário corrigir os erros manualmente depois de mudar a codificação.

O melhor seria transformar esse ItemStack em texto, algo como JSON ou base64, existem diversas classes online que podem fazer isso, por exemplo esta classe do @DevSrSouza : https://gist.github.com/DevSrSouza/aa2f39fb2299dfe72b49b52fa46d9a73

Algum plugin do seu servidor está abrindo um inventario assim que o player entra no servidor, isso causa um erro no spigot (não importa se é paper ou não), caso o plugin seja seu, use um scheduler para adicionar um delay à abertura do inventário (algo como 5 ticks basta), caso não seja contacte o autor do plugin para que corrija o erro ou remova o plugin do servidor.

Esse código apenas funciona caso você queira detetar apenas stacks com uma terra, além de não ser possivel saber a quantidade de todos os stacks do inventario, o que vai contra o intuito do post original.

Você precisa usar um scheduler ou uma task que executa no seu tempo desejado. Por exemplo, se você quiser que a cabeça do seu armor stand gire 360 graus em 5 segundos, crie uma task para executar em um certo intervalo de tempo, digamos meio segundo, e a cada execução gire mais 36 graus (360 graus dividido por 10 execuções).

Você está executando a verificação e enviando a mensagem a cada item o que faz com que varias verificações dêm não mesmo sendo o item desejado. Recomendo usar uma boolean setada originalmente como false e dentro da verificaçao caso o item seja o desejado altera-la para true, assim depois que o loop acabar você pode usar essa boolean para saber se existe algum item.

Acredito ser looting:10

Teria como mandar o codigo para verificar se tem algum erro?

Não sei se é o melhor metodo de fazer, mas costumo usar um loop por todos os itens no inventario e verificar um a um se o tipo e metadata do item são os mesmos, caso queira saber quantos tem pode ir somando em alguma variavel.