Muito provavelmente o scan usou algum proxy para confundir a origem. De maneira geral, é muito comum esse tipo de scan e com listas de URLs extremamente extensas. Recebemos esse tipo de scan diariamente em varios projetos com a origem mais variada possível.
Bem, não há muito o que fazer, o melhor é colocar uma camada intermediária para tratar isso (aka Cloudflare).