сли мошенник получил пароль от КИВИ, а все переводы только через одноразовый смс-пароль, то он сможет обойти это???

Быстро - не сможет. Если же получил пароль от w.qiwi.ru, то сможет там легко отключить СМС-подтверждение. Что мешает сменить пароль от терминала прямо сейчас? Что-то там нужно отправить на 4443 - если память не изменяет, то LK **** (LK пробел 4 цифры нового пароля, первая цифра - не 0).