Если ваш друг пользуется Telegram Desktop на Windows, он мог поймать вирус (стилер), который просто копирует папку tdata. В этой папке хранятся ключи сессии. Хакеру даже не нужен код из SMS — он просто подставляет эти файлы в свой Telegram и сразу оказывается внутри чужого аккаунта.