> Ввёл на телефоне пароль, на нём же сгенерировал TOTP

Вот тут ошибка. Надо было пароль вводить на одном устройстве, а TOTP использовать на другом.
Например входить с компа, а аутентификатор устанавливать на телефон.
Если все яйца у вас лежат в одной корзине, то от двухфакторки толку мало.

Хотя даже тут всё равно будет какая-никакая защита - если пароль просто отбрутфорсят или возьмут из какой-нибудь слитой базы данных, то зайти они не смогут. Собственно про это в новости и написано - про простые пароли, а не про взлом устройств разрабов.

> Потом телефон накрылся, и ты остался без аккаунта.

Про гитхаб не знаю, но почти везде можно указать способ восстановления аккаунта - по e-mail, по кодам восстановления или по злосчастному смс.
Это по-сути ещё один фактор, который тоже надо "хранить" отдельно от остальных, если подходить по-умному.