Il perchè è semplice, eri "un facile bersaglio".
Diciamo che ci sono due tipi di attacco, mirato o "a strascico".

In quello mirato scelgono un bersaglio e lo studiano per trovarne i punti attaccabili.

Nel secondo caso scelgono uno zeroday o un exploit recente e programmano un bot per provare a raffica su tutti gli ip che decidono (o in un range programmato). Solitamente l'attacco si limita ad installarti una backdoor da cui in un secondo tempo entrano e fanno quello che vogliono.

Non è un problema di wordpress, è che wordress è un CMS molto usato ed un attacco "a strascico" ha più possibilità di funzionare su larga scala.