Во-первых, украсть телефон на порядок сложнее, чем логин-пароль, для этого нужно физически находиться рядом с владельцем.
Во-вторых, пропажа телефона обнаружится практически сразу, тогда как украденным логином и паролем могут пользоваться долгие годы, не вызывая подозрений.
В-третьих, телефон может быть запаролен, в таком случае злоумышленнику потребуется сперва обойти этот пароль, что требует дополнительного времени, за которое владелец заметит пропажу и примёт меры.
В-четвёртых, не обязательно использовать один и тот же телефон. Никто не мешает установить приложение для генерации кодов на отдельный телефон, в который даже не вставлять сим-карту и не подключать к сети, с собой его не носить. Тогда для кражи понадобится уже как минимум проникновение в жилище.
А некоторые сервисы позволяют использовать USB-брелок наподобие yubikey, с датчиком отпечатка, в таком случае придётся физически заставить владельца приложить к нему палец.
А касательно восстановления, многие сервисы позволяют генерировать для 2FA резервные коды, которые можно распечатать/переписать на бумаге и положить в шкаф. Или в несгораемый сейф.
Простой
