¿Cómo propondrías protegerlo?
Las hashes son unidireccionales; no se pueden revertir a los datos originales.
Las contraseñas de usuario se almacenan como hashes porque no necesitan ser reversibles. Un hash de contraseña en la base de datos solo se consulta cuando el usuario intenta iniciar sesión. El hash de la contraseña proporcionada se compara con el hash de contraseña almacenado en el registro de ese usuario.
Es bastante común que cosas como contraseñas de SMTP y claves de API se almacenen en texto plano. Necesitan transmitirse en su forma original, por lo que almacenarlas como hashes impediría su uso. Si el tercero aceptara un hash de la contraseña, no habría beneficio en usar hashes como forma de protección.
Como dijo Jay más arriba, si se compromete la integridad física de tu servidor y se accede a tu app.yml, tienes problemas mucho más graves de los que preocuparte que restablecer una contraseña de SMTP.
Una advertencia importante aquí: no deberías usar la contraseña de SMTP en ningún otro lugar, pero esto no es específico de Discourse. Es una buena práctica de seguridad para todos los sistemas y todas las cuentas.