десять цифр не обязательно телефон, так же как и телефон не обязательно 10 цифр, бесполезное правило, скорее надо так:
['login', 'compare', 'compareAttribute' => 'phone', 'message' => 'Номер телефона и логин не должны совпадать'],
ведь проблема не в том что логин похож на чей-то номер телефона, а в том, что это телефон конкретного этого же юзера. Так что с его конкретным телефоном сверять и надо.
Но мое мнение - меньше запретов, больше предупреждений. Раздражает когда сервис за меня решает какой логин мне использовать или пароль. Тем более если ценность профайла на этом сайте равна 0 (речь не о ценности или качестве сайта, речь именно о учетной записи и последствиях ее потери).