D
Пароли он оборачивал в md5 при сохранении в базу, и при авторизации сверял хэши.
Но вишенка на торте в том, что при неправильном вводе выполнялись два действия:
1. В таблицу с логами сохранялся пароль юзера в "чистом" виде, т.е. как он его ввёл;
2. На почту всем сисадминам уходил email об этой ошибке и включал в себя логин и пароль в "чистом" виде.