wp-admin met ip afgeschermd, maar toch illegale login-pogingen????

Ik heb van al mijn websites de wp-admin met een htaccess bestand beveiligd op basis van ip-adres.
Bij de meeste sites staat alleen het ip-adres van mij met toegangsrechten. Op een paar sites zijn het twee ip-adresen.
Nou doet zich op vrijwel al die sites het merkwaardige fenomeen voor, dat ik via Wordfence vrijwel dagelijks berichten krijg van gasten die proberen in te loggen en in sommige gevallen hebben ze zelfs de juiste login-namen bemachtigd. Nee, niet admin. Zo slim ben ik nog wel.
Ze komen er vooralsnog niet in, want na 5 pogingen worden ze geblokt en de passwords zijn dermate complex, dat ze daar wel heel wat meer dan 5 pogingen voor nodig hebben.
Wat ik nou niet snap is hoe het mogelijk is dat personen met een niet geaccepteerd ip-adres er toch nog in slagen om het inlogformulier in te mogen vullen.
Wanneer ik via mijn ipad via 3g wil inloggen, dus met een ander ip-adres kom ik met geen mogelijkheid in het inlog-scherm. Hoe doen die andere gasten dat nou wel?