Ah ecco, mi pareva strano, se usi l'autenticazione in due passaggi e' impossibile che ti abbiano bucato l'account Google o hai trovato davvero un fuori classe o boh, francamente non riesco a pensare cosa possa essere successo, se ti ha notificato l'acquisto tramite Google Wallet vuol dire che l'accesso e' stato effettuato tramite il tuo account Google, non se ne esce... Hai guardato il report degli ip della connessione nel report attività per vedere se c'e' qualcosa di strano?