У меня есть приложение Android, я хочу защитить его от распространения, чтобы те люди, которым я передам свой APK, не могли его распространить кому-либо.

Серьёзных изменений в этот APK делать нельзя (да и исходников уже не осталось), поэтому план такой:

Создать небольшую программу-установщик на Android (8+), при входе в которую необходимо будет пройти проверку. Какую проверку - тут на ваше усмотрение, договоримся сообща. Это может быть:
- проверка по модели телефона/по imei номеру (если это возможно), который будет вшит в этот установщик;
- использование каких-нибудь одноразовых ключей;
- отправка кода на почту;
- и так далее.

После успешной проверки, пользователь заходит в меню этого установщика и у него появляется возможность установить тот самый APK (который, соответственно, будет изначально вшит в установщик).

Здесь появляется такой момент, что лёгким движением руки можно в дальнейшем "скачать" этот установленный APK с телефона, таких программ полно в Play Market. Поэтому можно сделать так:

Сломать манифест в APK (который пытаемся защитить), убрать из него фильтр MAIN/LAUNCHER - без него, насколько я знаю, приложение нельзя будет запустить обычным способом, ярлыков для запуска не будет. И сделать так, чтобы этот APK мог запуститься непосредственно из установщика.