Как вариант, если у тебя регистрация по почте, то после нескольких неудачных попыток входа на сайт, отправлять пользователю уведомление на почту, дальше заморозка аккаунта/смена пароля, либо просто ссылка для того, чтобы пользователь снова смог авторизоваться и дать новые куки/токен. Люди предлагали выше поставить капчу, даже если и обходится, все равно будет лишний барьер, и не каждый захочет с ним бороться и тратить на него время.