Если у вас украли деньги(это касается не только яндекс-денег) и вы сообщили об этом платежной системе в течении суток, то вам обязаны их вернуть. Разбираться со злоумышленниками будут уже они сами, у них есть для этого все ресурсы.
Что можно сказать наверняка, так это то, что были украдены авторизационые данные вашего Яндекс-аккаунта. Далее нужно смотреть историю действий. Схема с одноразовым номером телефона кажется маловероятной, пока у вас есть доступ к своему телефону левый номер проблематично привязать к вашему аккаунту даже, как запасной. А чтобы совершать операции им пришлось бы удалить ваш привязанный номер. Даже если были какие-то манипуляции все это должны быть отражено в "истории действий".
Яндекс-деньги дают возможность не использовать одноразовые смс-пароли. Транзакции можно подтвердить аварийными кодами или пуш-уведомлениями на смартфоне. Так что, может быть какая-то схема через полный доступ к вашему аккаунту через приложение на смартфоне. Опять же можно посмотреть в "истории действий" получали ли левые устройства и приложения доступ к вашему аккаунту.
Или есть совсем теоретические версии, вроде копии сим карты, или у вас на смартфоне какое-то вредоносное приложение с правами читать и удалять ваши СМС.
В любом случае нужно:
1.Сообщить платежной системе
2.Поменять пароль
3.Сделать выход на всех устройствах
4.Посмотреть историю действий, чтобы понять, что произошло.
Чтобы обезопасить себя можно:
1.Поставить СМС уведомления на все важные действия в аккаунте
2.Включить вход в аккаунт чере СМС