Definitivamente es molesto si alguien decide activar la opción de “olvidé mi contraseña” una y otra vez en tu nombre… pero no podemos bloquear al usuario de los restablecimientos de contraseña por esto, ya que bloquear a alguien de los restablecimientos también es una forma de acoso. 
Creo que tenemos un límite de velocidad aquí del orden de varias veces por minuto; ¿puedes revisar esta ruta de código @riking y confirmar que sigue funcionando? Podríamos aumentarlo, pero eso no podría cubrir de forma segura “unas pocas veces al día”.
Además, creo que prohibir una dirección IP a través de Administración, Registros, Direcciones IP filtradas debería evitar que esa dirección IP solicite un restablecimiento de contraseña, y también deberíamos verificar que eso funcione como se espera @riking.