Атака комментариями

У нас тоже была такая беда одно время, потом мы просто включили капчу и в .htaccess эти адреса добавили в такую конструкцию

Order allow,deny
Allow from all
Deny from 188.143.
Deny from 31.184.
Deny from 199.15.233.
Deny from 146.185.223.
Deny from 5.227.6.

Больше не надоедают.

А можно включить Каптчу везде, кроме страницы оформления заказа?

Туда пока что ни разу не спамили.
Вероятно, т.к. нужно сначала товар в корзину кинуть, а робот этот не умеет.

Не хочется напрягать Покупателя лишними полями. Тем более, может не все знают, что это такое, вдруг испугаются и убегут на другой сайт.

Мы когда отключаем капчу на странице регистрации и оформлении заказа, у нас начинаются валиться по 10-20 регистраций в день от ботов.

Здесь подробно о том как это они делают) https://www.youtube.com/watch?v=fsF7enQY8uI

Ага. Регистрации валятся. А заказы - нет.

Регистрация идет через страницу регистрации, а не через страницу заказа.
Отправить заказ можно только добавив что-то в корзину, а бот этого не может.
И на других движках у меня тоже ни разу не было заказа от бота.
Поэтому, я считаю, что на странице заказа она лишняя, а в идеале сделать отключаемой, чтобы админ выбирал, где нужна капча, а где нет.