Вход в Telegram не обязательно оставляет след в активных сессиях, если:

• вход был краткоживущим,
• сессия сразу завершена,
• использовался Web/TDLib-клиент.

А вот запрос к оператору, самый верный способ выяснить были ли попытки перевыпустить sim. Возможно стоит заказать детальный счет, может, что полезного будет.

Этому предшествовали многочисленные уведомления Apple о попытках входа в мой iCloud (коды я не подтверждал).

это могли быть и боты, которые работают по утечкам, хотя нельзя отбросить возможности бомбинга уведомлений, чтоб скрыть важные.

В TG скрыли свой номер телефона в настройках конфиденциальности?

Collection:** После инцидента появились признаки, указывающие на возможное прослушивание или слежку [можно кратко добавить, например: "аномальный разряд батареи, движение предметов"].

С осторожностью, но это косвенно. В наше время глобальной слежки... без весомой причины следить не будут. А если будут, то обнаружить это будет крайне тяжело... и таких признаков не будет. Тут поможет только долгий процесс анализа перехваченного трафика с телефона (Wireshark — подробное руководство по началу использования)

Какие неочевидные векторы атаки на iOS/iCloud мог использовать злоумышленник, если гипотеза с SIM-свопом не подтвердится?

Приложения с "дополнительной" нагрузкой. Преценденты были.

1. Какие дополнительные логи или доказательства можно запросить у оператора связи, чтобы подтвердить или опровергнуть факт SIM-свопа, если в стандартной справке этого нет?

такого и не будет, сильно уж специфично, и не каждый оператор предоставит эти данные без запроса от органов

Вход в Telegram не обязательно оставляет след в активных сессиях, если:

• вход был краткоживущим,
• сессия сразу завершена,
• использовался Web/TDLib-клиент.

А вот запрос к оператору, самый верный способ выяснить были ли попытки перевыпустить sim. Возможно стоит заказать детальный счет, может, что полезного будет.
Обращались в РА (Республика Армения) ничего подозрительного не было.

это могли быть и боты, которые работают по утечкам, хотя нельзя отбросить возможности бомбинга уведомлений, чтоб скрыть важные.

В TG скрыли свой номер телефона в настройках конфиденциальности?
Был скрыт полностью, после того, как с моего профиля было отправлено сообщение контакту и контакт мне прислал скриншот этого - мой номер был открыт в скриншоте. (Могу предоставить скриншот).

С осторожностью, но это косвенно. В наше время глобальной слежки... без весомой причины следить не будут. А если будут, то обнаружить это будет крайне тяжело... и таких признаков не будет. Тут поможет только долгий процесс анализа перехваченного трафика с телефона (Wireshark — подробное руководство по началу использования)
Этот тип используя Protonmail отправлял весь мой диалог по телеграмму с другими контактами, отправляли к стати на их почту (Скриншоты могу предоставить).

Приложения с "дополнительной" нагрузкой. Преценденты были.

такого и не будет, сильно уж специфично, и не каждый оператор предоставит эти данные без запроса от органов

Есть семья (скромная) живущая в г.Ереван, без каких-либо ситуаций и проблем 2 года назад их отправили в каменный век, максимально манипулируя их устройствами. Меняли телефоны, меняли аккаунты, покупали моб. телефоны в соседних странах (Грузия) и попадались на тоже самое. Прослушка и манипуляции с тг. аккаунтом. Писал в тг. - молчат (делал большое кол-во тикетов с подтверждениями - молчат), писал в Apple - отвечают ( мол включайте Lockdown мод, который не помог). И вот люди пошли купили новый телефон, приобрели сим-карту на 3 лицо, создали новый icloud (не используя вай-фай и находясь по дальше от точек вай-фай) позвонили мне и пошло поехало... Трекеры все на телефоне моем выключены, синхронизация с icloud выключена, все пароли изменены и достаточный не плохой hardening сделал при этом не превратив телефон в кирпич, но все же хочется понять, что за атака. При долгом разговоре приходят звонки и после этого сессия в тг нарушена, или же приходит несколько кодов якобы от apple, для авторизации icloud, возможен перехват этих паролей. Проверял устройства (MVT, iShutdown и вообще ничего).

Злоумышленник используя protonmail под почтовым адресом kingevorg@protonmail.com писал на почту с подтверждениями того, что прослушивал и прям 1в1 отправлял это в текстовом формате ... Профиль его заблокирован уже модерацией Proton.

Публичные wi-fi или посредник по средине. Тут лучше к правоохранителям, у них есть ресурсы и полномочия.

в РА правоохранители ничем не помогли. Вот подумал обратиться к сообществу, да бы вместе подумать. При каких-то положительных процессах - денежное вознаграждение !

GrapheneOS пробовали? Там вроде гибко можно настроить модем, логировать все запросы, блокировать их. Должно помочь!