Ratenti, в каждом телеграмм боте должен использоваться FSM, я сам сталкивался с такой проблемой, что у меня покупки пользователя уходили другому пользователю, благо тогда бот не был таким популярным и другие "приколы" были
Прошелся по сайтам где регистрация по номеру и там при отправки кода/проверки кода передаются какие-то токены. Судя по всему, токены создаются при заходе на сайт и все.
Если не было смс для входа, то скорее всего какой-то софт установили на телефон/пк и он украл вашу tdata, которая хранится на устройстве. Установить взломщика нереально