А не кажется ли вам, что в базе пытаются найти не только мд5 и мд5(мд5), но и другие хэши, внешне похожие на мд5? Например, "соленые" хэши? Вот только сбрутить их нельзя будет, ибо не известно, из какого движка хэш и какая соль была в базе вместе с хэшем.