Итак:
Открываем файл
engine/modules/functions.php
Находим строку в функции show_attach (559)
while ( $row = $db->get_row() ) {
Ниже вставляем
$id = $row[\'id\'];
$row[\'id\'] = urlencode(base64_encode($row[\'id\']) . md5($row[\'id\'] . DBPASS . DBUSER));
ниже ищем
$story = str_replace( \'[attachment=\' . $row[\'id\'] . \']\', $link, $story );
заменяем на
$story = str_replace( \'[attachment=\' . $id . \']\', $link, $story );

Открываем файл
engine/download.php
Находим строку (95)
$id = intval ( $_REQUEST[\'id\'] );
И заменяем ее на
$id = intval(base64_decode(substr($_REQUEST[\'id\'], 0, -32)));
if (md5($id . DBPASS . DBUSER) != substr($_REQUEST[\'id\'], -32))
{
    die ( \"Access denied\" );
}

Вот и всё