theymos предполагает, что проблема где-то посредине.
Код - это 10 случайных символов из 62-символьного алфавита; вы никогда не сможете подобрать его через Сеть. Вы быстрее обрушите форум, чем сделаете хотя бы 10000 попыток в секунду. Скорее всего письмо было каким-то образом перехвачено на стороне пользователя.
И вот это уже становится любопытным.
Взломщику удалось выкачать письма, которые валялись в ящике. Точно вместе с письмом со ссылкой на смену пароля.
Причём в браузере они как непрочитанные были и по логам только с моего IP обращение шло.