O que você está vendo é exatamente o sistema de segurança da Apple funcionando como deveria. Quando o iPhone é roubado e alguém tenta resetá-lo ou entrar na sua Apple ID, mesmo sem sua senha, o iCloud ativa o Bloqueio de Ativação, que impede o uso do aparelho sem sua conta.
As mensagens e o código de verificação que você recebeu são avisos de que alguém tentou acessar sua conta. A Apple envia esses alertas para você confirmar que não foi você. Isso acontece mesmo que o invasor não tenha seu e-mail completo ou senha, porque qualquer tentativa de login ou reset dispara a proteção.
O importante agora é não compartilhar esse código com ninguém e trocar sua senha da Apple ID imediatamente, além de ativar a autenticação de dois fatores se ainda não estiver ativa. Isso garante que sua conta e dispositivos fiquem protegidos, e que o iPhone roubado continue bloqueado.