A resposta (de acordo com este post) é especificar
hashAlgorithmType="SHA1"
no Web.config:<membership defaultProvider="OracleMembershipProvider" hashAlgorithmType="SHA1"/>
Isso não resolveu o problema para os usuários existentes, mas os usuários recém-criados podem fazer login agora.