Obrigado @Be0
Na maioria das implementações atuais, as chaves de acesso ainda não estão sendo implantadas dessa forma. Elas estão sendo tratadas como independentes da autenticação de dois fatores (2FA), veja este relatório sobre a abordagem do Youtube. Acho que a indústria se adaptará lentamente a isso.
São necessárias duas alterações para que isso funcione como você espera:
etapa 1: permitir o uso de chaves de acesso como 2FA (atualmente, como você observou, as chaves de segurança precisam ser registradas independentemente)
etapa 2: impor 2FA em logins de senha quando o usuário adicionou uma chave de acesso
A etapa 1 faz sentido para mim e não é disruptiva. A etapa 2 também faz sentido, mas é um pouco disruptiva; se o usuário excluir a chave de acesso do navegador (ou não a tiver em um determinado dispositivo), o acesso será bloqueado.
Acho que vale a pena investigar isso.