Мне в свое время помогло убрать из шапки ссылку на регистрацию (/register/). Вместо этого по кнопке "Регистрация" вываливается промежуточная нестандартная для ксенфоро страница со всеми способами регистрации, которая не имеет текстовых полей. Из-за этого боты тупо не могут пройти ¯\_(ツ)_/¯
Но если боты атакуют целенаправленно, то достаточно быстро создатели ботов адаптируются и этот способ не сработает