Sim, precisa escanear o QR code e depois digitar o código certo no site para completar o processo.
Antigamente o pessoal só escaneava o QR code e já ativava o token, mas nunca conseguiam entrar no jogo pois os códigos estavam sendo gerados incorretamente por causa do problema do sincronismo do horário do relógio.
Desse novo modo, eu valido o código antes de ativar o token de fato, assim eu sei que o horário do celular está correto.