логика Telegram позволяет легко запретить владельцу вход в свой аккаунт, если злоумышенник получил сессию

достаточно вызвать метод auth.checkPassword из аккаунта 5 раз подряд чтобы владелец аккаунта не мог запросить код по смс целый час, а ввод верного пароля 2fa через пасскей не давал доступа к аккаунту тот же промежуток времени

возможно спустя час злоумышенник может повторить это и увеличить время ожидания до еще большего значения