Compartía totalmente tus preocupaciones, por lo que mi iPhone reenvía todos los mensajes, incluidos los de mis cuentas bancarias, aunque el bluetooth tanto en Mac como en iPhone está desactivado (y también lo es wifi en el iPhone, así que asumo que el reenvío funciona a través de datos celulares). De acuerdo con un tipo agradable y servicial de Apple-Hotline, no existe una opción como filtrar qué mensajes se reenviarán y cuáles no.
Pero después de pensar en el tema por un tiempo, ya no lo veo tan importante. La autenticación de 2 factores se basa en el principio de conocer una información (como su contraseña) y poseer algo (por ejemplo, su teléfono) para recibir una segunda información que, junto con el primer bit, actuará como clave. La situación con el reenvío de mensajes solo difiere en la medida en que la "cosa" que posee en este caso son dos cosas (el teléfono y el mac). Así que no hay incumplimiento, imho, ya que el tipo que posiblemente podría robar tu Mac aún tiene que saber tu contraseña.
Simplemente no parece correcto que la transacción no se muestre en el mismo dispositivo que ejecuta la sesión y, por lo tanto, solicitó el número ;-)