Я вот подумал, а ведь боты не умеют капчи обходить, может быть привязать распознавание свой/чужой через капчу?

К сожалению, ддос так не работает.
Атака на web, наверно, самая простая как в организации, так и в защите.
В нашем случае, атака направлена не на web, добавление капчи ничего не решит.