Можно использовать даже самые простые пароли как 2FA Telegram.

Если вы когда-нибудь покупали аккаунт Telegram, вы могли заметить что часто там стоит простая 2FA по типу 1234, 2222.

Почему бы тогда разработчикам Telegram не отсеять на стороне сервера аккаунты с таким простым хешем?

Telegram использует схему SRP для 2FA. Вкратце - сервер генерирует случайное число, а вы проводите операцию над ним и присылаете ответ который доказывает что пароль у вас есть. Утечка данных с сервера сама по себе не даст возможности найти исходные пароли.

Читайте подробнее о протоколе в wikipedia:

https://en.wikipedia.org/wiki/Secure_Remote_Password_protocol