Выступлю в защиту идеи сменить URL админки — это реально снижает количество атак просто потому, что многие боты идут прям по стандартным адресам. Капча и 2FA тоже важны, но без скрытия входа спам всё равно будет. И да, не забывайте про ограничение попыток, иначе всё это легко развалится. В итоге, лучше сделать сразу несколько таких простых шагов, чем потом чистить взломанный форум.