В тинькове элементарно настраиваются лимиты на каждую карту. Лично для меня это оптимальный по удобству способ защиты средств. Ну, и держать виртуалку только для онлайн и физическую для оффлайн-платежей.

По поводу возврата средств в течение 2х дней. В процитированном Вами отрывке ФЗ речь идёт о возможности приостановить банком выполнение транзакции на срок до 2-х дней, если есть признаки её нелигитимности, а не об обязанности банка вернуть эти деньги в течение 2-х дней.