Клавогонки не хранят пароль от аккаунта в куках. И даже хэш от пароля не хранят - только хэш от сессии. Но, разумеется, если человек запускает программу от неизвестного доброжелателя у себя на компьютере, то он дает ему полный доступ к чему только душа пожелает. Клавогонки тут сопротивляться не смогут.

Все аккаунты виновника (включая основной) заблокировал, очки вернул, сменил пароли и почту всем пострадавшим на случайные. Для восстановления аккаунтов пишите в обратную связь.

Дельф, это Delphi? Хм, интересно, интересно...

Почему смена e-mail'а происходит без подтверждения непосредственно от этого e-mail'а? Аккаунт BigRace, например, не смогли бы полностью захватить. Да и многие другие, возможно, тоже.
Я считаю это косяком.

Очки бы все равно увели и повандалить успели. Да, подтверждение на почту сделать надо, но пока что ситуацию можно разруливать и вручную.