Конечно, это раздражает, если кто-то решает снова и снова инициировать процедуру «забыли пароль» от вашего имени… но мы не можем блокировать пользователю возможность сброса пароля на этом основании, поскольку такой запрет сам по себе тоже является формой саботажа. 
По-моему, у нас здесь стоит ограничение по частоте запросов — порядка нескольких раз в минуту. Можете проверить этот участок кода @riking и подтвердить, что он всё ещё работает? Мы могли бы увеличить лимит, но это не сможет надёжно покрыть сценарий «несколько раз в день».
Кроме того, блокировка IP-адреса через Администрирование → Журналы → Заблокированные IP-адреса, полагаю, должна предотвращать отправку запросов на сброс пароля с этого адреса. Также стоит проверить, что это работает как положено @riking.