はい、設定（悪いプラグインやプロキシ設定）か、誰かがフォーラムをいじっているかのどちらかだと考えられます。
パターンから判断すると、後者の可能性の方が高いです。
私が気づいたのは、スパムアカウントは長い期間にわたって作成されており、バイオやその他様々な箇所にリンク（バックリンク獲得のためでしょうか？）を追加しようとしている点です。
また、サイトを読み取り専用モードにし、プロキシ上にキャッシュを設定するとともにレート制限も導入しているにもかかわらず、アップストリームコンテナのリソース使用量が高いことから、スクレイピングが関与している可能性もあります。
ただし、設定に問題がある可能性も否定できません。サブパスを使用し、リバースプロキシの上に Cloudflare を配置しているため、Discourse が推奨する最も効率的な構成とは言い難いからです。