Selam olsun,

Arkadaşın suçlu elbette.
Telefonda arayan ben savcıyım dese gitti altınlar

Kargocunun bir kusuru yok, telefona gelen kod kimlik doğrulaması için yeterli.
Telefonu ele geçirmişse diye düşünürseniz, kimliğide ele geçirmiş, Adamı rehin almış vs. böyle çıkmaz bir döngüye girer.

Bankalar işlem önce SMS ile onay alıyor, aynı nedenden ötürü.