Como você proporia protegê-lo?
Hashes são unidirecionais; não é possível reverter para os dados originais.
As senhas dos usuários são hashadas porque não precisam ser reversíveis. Um hash de senha no banco de dados é consultado apenas quando o usuário tenta fazer login. O hash da senha fornecida é comparado ao hash de senha armazenado no registro daquele usuário.
É bastante comum que coisas como senhas SMTP e chaves de API sejam armazenadas em texto puro. Elas precisam ser transmitidas em sua forma original, então hashá-las impediria seu uso. Se o terceiro aceitasse um hash da senha, não haveria benefício em usar hash como forma de proteção.
Como Jay mencionou acima, se a integridade física do seu servidor for comprometida e seu app.yml for acessado, você terá problemas muito maiores para se preocupar do que a necessidade de redefinir uma senha SMTP.
Uma ressalva importante aqui: você não deve usar a senha SMTP em nenhum outro lugar — mas isso não é específico do Discourse. É uma boa prática de segurança para todos os sistemas e todas as contas.