攻撃者がボットネット使ってるならmCaptchaでCPU負荷増やすだと効果が限定的かも
Cloudflare Turnstileの方がよさげ

CAPTCHAみたいな画像認証はTurnstileでは使わない
フィンガープリンティング、発信元のネットワークトラフィックの解析、攻撃者のCPU負荷を増やす等
複数の手法を組み合わせてるらしい