Код заменяет пароль, поэтому проверяется только одно подтверждение.

Пароль вводится дважды, что создаёт два независимых фактора.

Публичное имя пользователя становится вторым секретным фактором.

Одного правильного пароля больше недостаточно: для входа также требуется код, полученный из отдельного защищённого секрета.