1.
Tu peux reconnaître un hack si il a :
- été capturé à un endroit impossible et/ou avec une ball improbable (mémoire ball sans être un event, pokémon sorti d'un oeuf avec autre chose que pokéball ...)
- un DO typique ("Ash" par exemple est le DO par défaut sur un des sites les plus connus pour créer des fichiers .pkm), ou un ID louche (00000, 99999, 12345 ...)
- des stats anormales (tous les IV à 31 et/ou un nombre d'EV dépassant 510 au total/255 par stat)
- des attaques inhabituelles (qu'il ne peut pas apprendre normalement)
- le caractère shiny : certains pokémon ne peuvent pas l'être naturellement, comme les events ou Reshiram/Zekrom. Mais de manière générale, tu peux considérer que 99% des shinies qui tournent sur le online sont hacks, surtout les légendaires ...
Cependant un hack bien fait, c'est à dire créé en faisant attention à tous ces points, sera indétectable.
2.
Pour ma part, à partir du moment où tu as obtenu ton pokémon sans tricher, même si ce n'est pas sur une vraie cartouche, il est legit. Mais mon avis n'est peut-être pas universel.