Esta claro que si han cambiado todos los usuarios y todas las contraseñas no puede ser un "error" de Wordpress.
Asegúrate de que corres la ultima versión de wordpress... en la anteriores (< 3.6.1) se descubrió que se podía inyectar objetos debido a un bug en PHP de la función unserialize().. y por tanto afecto directamente a Wordpress ya que no hacían ninguna limpieza.
http://vagosec.org/2013/09/wordpress-php-object-injection/Ademas asegúrate que tienes todos los plugins actualizados y si tienes alguno "no muy común" mírate su código fuente a ver si no es vulnerable.
Saludos