A resposta (de acordo com este post) é especificar
hashAlgorithmType="SHA1" no Web.config:<membership defaultProvider="OracleMembershipProvider" hashAlgorithmType="SHA1"/>
Isso não resolveu o problema para os usuários existentes, mas os usuários recém-criados podem fazer login agora.