Que bom que eu despertei interesse. É um assunto bonito. Como falei, meu conhecimento vai até implementar um sistema e até mesmo ensinar alguém a fazer isso, contudo, o que sei sobre como esses mecanismos são contornados pelos criminosos não vai muito além do que é inevitável acabar aprendendo diante da proximidade entre as áreas.
Sobre o SHA, a falha em usá-lo reside principalmente no ponto em que ele é algoritmo focado em performance. Ele ser performático pode até parecer bom -- e é --, mas em se tratando se senhas, não. Isso por que, como havia comentado, existe um esforço coordenado na comunidade de criminosos de pré-computar hashes e simplesmente procurá-los nos bancos vazados, através das rainbow tables e esse esforço, não preciso dizer, será tão difícil quanto é custoso computacionalmente gerar uma hash.
Nesse ponto, gerar uma hash bcrypt é algumas centenas de milhares de vezes mais custoso do que fazer o mesmo com SHA, o que torna a capacidade dos hackers de criar essas tabelas muito menor em termos de velocidade.
Criptografias performáticas como o SHA são recomendadas para contextos onde a velocidade é importante, como em comunicações -- sobretudo instantâneas, -- hashs de integridade de dados, camada de encriptação se arquivos, etc. mas, em senhas, queremos o contario.
É muito estranho que esse sistema que mencionaste use SHA e ainda por cima coloca a bunda pra fora da janela contando isso pra todo mundo. IMHO, contar isso é pior do que fazer, é um problema ainda maior de segurança.
Um abraço.