токен нужен только для того чтоб защитить логин/пароль

уведя логин/пароль элементарно скомпрометировать их владельца введя неправильны токен.

ну это да.

там даже просто переписать при согласии всех сторон - куча проблем
но привязано к телефону

есть разные области использования
есть где для доступа логин и пароль - просто не подходит - нет ничего секретного, но лишним глазам не место, а логином/паролем могут просто поделиться.
для таких вещей ставить токены - слишком накладно, писать что-то своё для смарфонов ещё накладнее .
самое то ограничить по номеру телефона - тем более что телеграм у нас в тренде использования.
достаточно просто прописать номер в базе + небольшая инструкция - и всё .

уводится легко

используется технология бота.
а то что используется только одна её часть - это уже дело второе.
но кто запрещает такое использование?
если пофантазировать - то можно придумать и использование обратного канала - со страницы - на смартфон.
возможность есть
можно ведь отправлять сообщения нескольким пользователям