На самом деле смена URL админки реально помогает снизить количество тупых ботов, но без 2FA и ограничения попыток это как пытаться закрыть дверь на цепочку, когда окно открыто. И капча – должна быть нормальная, а не ерунда, которую скрипты легко обходят. Ну и блокировка по IP – не панацея, но в связке с остальным уже гораздо спокойнее. Главное — не забивать на обновления и логи.