Каким-то образом они добавили к его аккаунту свою почту и запросили(установили) код 2FA. Теперь ему воцап предлагает заново зарегистрировать номер, но код по смс не присылает, предлагает использовать код, который установили плохие люди или сбросить этот код на их почту. Также изменили ему аватарку на которой написаны два мобильных номера из Индонезии.
Я написал в воцап на один из этих номеров "Привет. Есть разговор". Сразу мне пришел запрос на ввод 2FA кода на другое устройство. У меня почта к аккаунту привязана, а код не установлен. После нескольких запросов кода они угомонились и больше в чате не отвечали. Сразу себе установил код 2FA.
Для защиты аккаунта установите себе почту и код, иначе угонят. Видимо есть какой-то баг.