А, это мошенник хочет "вернуть эти деньги"? Ну ладно тогда

В банк-то обратились? Чтобы они заморозили/отменили последнюю транзакцию, ну или как-то ещё помогли со своей стороны

Да, вот у китайцев даже есть с предоставлением мощностей сторонним пользователям:
https://www.it-world.ru/it-news/tech/187073.html

В общем, история какая-то запутанная и нереалистичная, но в сухом остатке два варианта - либо узнать пин у того, кто его поставил, либо перебор.
(К слову, я проверил на своём Mi6, и оказалось, что там нет нарастающего таймаута между неудачными попытками - всегда просто 30 секунд. Если как-то автоматизировать ввод, каким-то самодельным девайсом на базе esp32, то четырёхциферный код можно где-то за неделю подобрать)

То есть, кто-то нашёл Ваш телефон, ввёл пин, потому что он был простой, а потом поставил новый пин? А потом вернул телефон Вам?

А как так бывает, что владелец пользовался-пользовался смартфоном, какие-то ценные данные в него сохранил, а потом оказалось, что не знает пин-код?