Du deutest es zwar an, aber noch mal explizit: Bei einem offline Angriff würde der Code nie laufen und somit auch gar nichts bringen.

Dabei wird direkt gegen die Hashes in einer Kopie der Nutzerdatenbank verglichen und nicht die normale Anmeldemaske verwendet.