Столкнулись с той же проблемой. Проанализировали и заметили одно из существенных отличий - все боты заходят с ipv6 адресов. Если отключить ipv6 на сервере, боты отсекутся. Такие адреса очень дешевые, их закупают тысячами и используют в разных целях. У нас в стране нет дефицита ipv4, соответственно на настоящий трафик это не должно повлиять.
