参考までに追加しておきますが、hide_email_address_taken というサイト設定を有効にすると（@moin が指摘している通り、この設定はデフォルトで有効になっています）、パスワード再設定フォームは完全なメールアドレスのみを受け付けるようになります。そのフィールドにユーザー名を入力できるオプションは、この設定が無効化されている場合にのみ存在します。
フォームにユーザー名を入力して送信した後、ウェブページ（またはコンソールで目にした箇所）でメールアドレスの一部を表示しないため、そこにユーザー名を入力することで「既に使用されている」メールアドレスの存在がどのように漏れてしまうのか、想像が付きません。