tentativo di intrusione fraudolenta ?

Quando uno è in attesa di conferma può fare il login, ed è una cosa normale.
Per impedirgli di aggiungere qualcuno alla sua lista amici non saprei come fare.

Non credo ci sia modo di impedirgli di usare la lista contatti, soltanto la funzione degli amici, e quindi di inviare/ricevere richieste di amicizia. I contatti comunque sono un rapporto unidirezionale, quindi personalmente non mi pare un grande problema, no?

si, infatti, alla fine non è un gran problema. Mi premeva però capire se era un problema del mio forum o una caratteristica di vbulletin.
Grazie.

Potresti utilizzare uno stile leggermente modificato per gli utenti in attesa di conferma email o moderati, dove mancano i link alle liste. Non è fool-proof, ma per alcuni utenti potrebbe bastare.