Прошелся по сайтам где регистрация по номеру и там при отправки кода/проверки кода передаются какие-то токены. Судя по всему, токены создаются при заходе на сайт и все.
Если не было смс для входа, то скорее всего какой-то софт установили на телефон/пк и он украл вашу tdata, которая хранится на устройстве. Установить взломщика нереально
CSRF токены используются я думаю.