絶対に破れない暗号強度だったとしてもそれを迂回する手段なんていくらでも出来ます
要はその瞬間のトークンの表示を被害者に入力させるだけでいいのですから

私みたいな素人でも抜け道を考えられるくらいですから本職ハッカーだったらもっと手が込んだことできそうです。
先に上げたフィッシング以外にも木馬なんかも有効でしょう。寝釣り/寝合成ツールに忍ばせる　なんてのもありかと。

しつこいくらいの啓蒙活動と何重にもかけられるセキュリティが必要かと思います。
トークンだけではそのうち被害でるんじゃないかと思ってますが、どうなりますかね