Ciao Davide,
il problema che leggo io è che alcuni caratteri rompono la sintassi della URL e vanno quindi "codificati" opportunamente per evitarlo: uno di questi è proprio # che hai nella URL che hai postato per cui al server non arriverà mai altro che la password ed è corretto il messaggio di errore circa la mancanza del parametro firstname.
Non credo che ricostruire il token possa risolvere ma puoi provare: non capisco invece quando parli di eliminare il webservice visto che tu stai chiamando una funzione core, core_user_create_users. Puoi condividere qualche dettaglio in più su questa funzione "personalizzata"?
Inoltre, in questo periodo è cambiato qualcosa nella configurazione del server o della versione PHP?
HTH,
Matteo