Tu suposición es incorrecta: no es necesario que una aplicación conozca ni transmita tu contraseña para iniciar sesión en un servicio.
Por lo general, la autenticación de este tipo de aplicaciones consiste en iniciar la primera sesión con una contraseña. A continuación, la aplicación recibe un token, que puede considerarse como una contraseña muy larga y de uso único. Para todos los inicios de sesión futuros, la aplicación no se autentifica con tu propia contraseña, sino que utiliza ese token.
Esto hace posible que los desarrolladores de aplicaciones te permitan iniciar sesión usando FaceID, TouchID y todo tipo de métodos específicamente sin almacenar tu propia contraseña en el dispositivo. Además, les permite dar a los usuarios la ventaja de que pueden rastrear qué unidades se utilizan para iniciar sesión, y revocar el token (es decir, invalidarlo) para que un dispositivo específico ya no pueda iniciar sesión (sin más autenticación del usuario).