Почему при оплате через Paypal не запрашивается смс-подтверждение?
Потому что система 3ds идеологически создана неправильной, и сервисы имеют право сами решать, запрашивать ли код sms (обычно при первых платежах клиента) или нет. До сих пор существуют онлайн магазины (но таких мало, я не встречал) которые вообще не запрашивают sms.
Почему неправильно, потому что эта система имеет смысл только как защита от неблагонадежных сервисов приема платежей. Очень мудро спрашивать мошенника, мошенник ли он или нет.
Крупные бизнесы берут на себя риски косяков без 3DS и тем самым получают бонус в виде ускорения списания средств (не надо ждать смс).