mir ist kein Weg bekannt, wie dann die E-Mail-Adressen der Benutzer an Dritte gelangen könnten.
Sicherheitslücken in dieser Richtung sind uns ebenfalls nicht bekannt.
In diesem Fall ist es für mich ebenso unerklärlich.
Vielleicht hat ja ein Server, der Mails Ihres Forums weiterleitet, eine Sicherheitslücke, so dass dort E-Mails abgefangen und nach Adresse gescannt werden. Möglich ist wohl alles, wenn Ihr Server sicher ist, Sie nichts ungewöhnliches in den Logs finden und die Benutzer auch saubere Rechner haben.
Sicherheitshalber sollten Sie alle installierten Add-ons und Skripte auf bekannte Sicherheitslücken überprüfen (vBSEO, phpMyAdmin, Chat-Software, etc.), falls nicht eh schon geschehen.
Bei weiteren Fragen stehe ich Ihnen gerne zur Verfügung.