Ответ:

Правильный вариант — 2. Пароль и код из приложения являются разными факторами аутентификации. Поэтому одного украденного пароля недостаточно для входа.

Код не становится абсолютно невозможным для перехвата, а дополнительная проверка не обязательно ускоряет вход.