Какой у вас телефон, версия андроид? Какие приложения ставили с того же гугл плей, особенно из последних? Одним из самых небезопасных разрешений считается доступ к уведомлениям, хотя считай все приложения его имеют.
Аналогичная ситуация произошла сегодня утром. Айфон, одна единственная сессия на телефоне, рабочая симкарта. Смс не было, приходил код в сообщения телеграм. 2FA конечно не было. Номер страны постсоветского пространства, а взломавший зашел из РФ.
Похоже на огромную дырень в телеграмUPD: или у оператора
