Haz una copia de seguridad en local de toda tu carpeta de Wordpress. Para ello, entra vía SFTP o vía SSH a tu sitio (hoy día hay buenos programas, gratuitos, que permiten acceder con seguridad a los archivos/carpetas de un sitio remoto). Hay otros más sofisticados (generalmente de pago), que permiten acceder incluso a las bases de datos del sitio.
Cuando tengas todos tus archivos en local, bien seguros, borra toda la instalación de Wordpress, todas las carpetas e instala de nuevo un Wordpress totalmente nuevo. No seas tonto, usa otro nuevo nombre de usuario administrador y una nueva contraseña, larga, como explico más arriba.
Llegó el momento de aprender a lidiar con la base de datos directamente. Wordpress guarda casi todo en tablas de la base de datos. Ahora vas a tener en tu sistema dos bases de datos: la base de datos vieja, del Wordpress que que hackearon y la base de datos nueva, del nuevo WP que instalaste.