На ком лежит бремя доказывания того, что push отправлялся? Если в суд подает клиент, то и доказывать ему. Или в случае с банками какой-то особый порядок?

Чем они могут доказать факт его направления кроме как распечаткой с внутреннего биллинга, и то ни сертифицированного и нелицензированного.Думаете, банк использует написанное на коленке или крякнутое ПО?  🤔
Мне кажется, факт отправки push-уведомления доказать несложно, вот с подтверждением получения уже могут возникнуть проблемы.

поражает то с каким усердием банки загоняют себя в жопу направляя одноразовые коды через PUSH сообщение

А чего собственно не так?
Фактор отправки в ПО банка зафиксирован, ПО сертифицировано. Более того, даже те 10 килобайт траффика будут в выписке оператора.

Я всеми руками за пуши, потому что идут они по защищенному SSL каналу, и перехватить их в отличие от СМС очень тяжело, более того, пуши может читать только само приложение + ось, и если это не рутованная андроид помойка, то это секьюрно.

Плюс пуши по умолчанию скрывают контент на залоченном устройстве, тогда как смс - нет. И мало кто меняет эти настройки.