А вы не хотели бы слегка подкорректировать алгоритм восстановления пароля через почту? Суть в том, чтобы отправлять аккаунт на котором процедура восстановления пароля дошла до конца (был заход на почту и выдан новый пароль) в бан хотя бы на пару дней. Если человек восстанавливает свой аккаунт он смело обратится в ПСА и снимет блок. А взломщик вряд-ли будет так палиться. И у хозяина аккаунта будет время среагировать. Потеряет немного нервов но сохранит имущество. Плюс узнает, что почта скомпрометирована. А если она старая или давно утрачена сможет ввести новую.
