Если карту действительно смогли привязать к другому номеру(тогда вопросы к службе поддержки, без неё явно такое не провернуть) - от такой ситуации спас бы банальный холд\пометка нового устройства как недоверенного на сутки. Причём холд комплексный, сутки с нового устройства не видно полных номеров карт и cvv, и нельзя совершить перевод\оплату через приложение.

Об этом на VC писали ещё год назад(как и о 2fa), реализовать такое не сложно. Но видимо не почешутся, пока клиенты не начнут массово закрывать счета. А они начнут, когда подобные истории достигнут критической массы.