думаю мог быть такой вариант: воры узнают номер карты и телефон владельца. Приват 24 при запросе отсылает пароль в виде СМС на телефон. Воры подделывают симку телефона. Т.е. может быть сговор с оператором связи. Т.к. оператор может из балванки симки делать сразу любой номер нужный. На телефон приходит пароль, и деньги через Приват 24 пересылают на нужную карту и снимают