А если отвязать профили от почты, мы же не через посту заходим. Допустим при регистрации указывать, а далее сносить эти данные при активации аккаунта или же принудительно делать скрытыми для остальных?
Как вариант временно закрывать взломанные профили на уровне сайта... Бог с ней с блокировкой, обойдут.. Но может темп снизят, увидев выключенный профиль