Странно, мне казалось, что сертификат генерируется только в момент покупки, либо до оплаты лежит в неактивном виде. Скорее утечка промзошла не у самого магазина, а у перекупа)