Ist aber nun behoben
Wie, Backup zurückgespielt und upgedatet oder einfach nur upgedatet?
Bei Letzterem weißt du nie, was evtl. sonst noch aufgespielt wurde (backdoor).
Aber ja, für mich sieht es auch so aus als ob der Login IN meine WP-Installation erfolgte VON der fremden Seite. Nicht umgekehrt.
So würde ich das auch sehen.
Schau in die logs deines webservers und suche nach der IP. Dann läßt sich klären, ob der login einmalig war.