Pero los sms te tienen que llegar como lo que son, sms, es independiente de la app, y cuando te llegue el código por SMS lo metes en la aplicación, aparte tienes otro filtro que es tu móvil, así nadie puede hacer operaciones aunque tenga la clave y la app, sino se hace con el móvil correcto