Ein Cracker müsste also gleichzeitig an beide Informationen kommen.

Nicht immer.

Stell Dir folgendes vor: Erwin B. installiert auf Deinem Handy einen Trojaner, der SMSTan still weiterleitet - auf sein Handy.
Durch einen Bedienerfehler Deinerseits hat er es geschafft, Deine Bankzugangsdaten abzugreifen, z.B. von Deinem versifften PC.
Jetzt ist er in der glücklichen Lage, selbst (!) eine Transaktion anstoßen zu können; die Autorisierungs-SMS kommt zwar auf Dein Handy, wird dort aber direkt abgegriffen und an ihn weitergeleitet. Er manipuliert also keine Transaktion Deinerseits, sondern leitet selbst eine ein.