O site deve ter efetuado a cobrança e como o cartão tinha sido excluído a cobrança não era autorizada, assim o Nubank enviou a msg para que vc fizesse a atualização.
Mas além do sistema do Nubank, tem o sistema da Mastercard, que só deve ter identificado a troca da numeração quando o site tentou efetuar a cobrança e aí a Mastercard efetuou a atualização e por isso possibilitou a cobrança.
Concordo, tanto vc, quanto o Nubank, poderiam ter evitado que isso acontecesse.
Se vc não queria ser cobrado deveria ter desativado a recorrência ou retirado o cartão como forma de pagamento, mas por negligência vc apenas excluiu o cartão para não ser cobrado futuramente.
Embora eu pense que o Nubank realmente devesse ser mais claro quanto a esta função, a informação sobre ela existe no contrato do cartão de crédito, mas como vc não deve ter lido, vc não sabia da existência dela, em razão dessa negligência vc assumiu o risco de ser surpreendido com isso e outras coisas.
Se eu não estou enganado, é possível pedir a lista de serviços em que o cartão está cadastrado pelo chat (vi alguém mencionando essa possibilidade aqui na comunidade) e sim, é possível a cobrança de outras assinaturas, por isso se vc não quer cobranças recorrentes ou assinaturas deve realizar o cancelamento no próprio site.
Como disse acima, a existência dela é informada no contrato do cartão de crédito. A instituição disponibiliza o contrato? Sim. As pessoas leem? Muitas não.
Não deveria ser ativada por padrão? Talvez.
Basta que o usuário entre contato para ela ser desativada, para isso ele deve ter conhecimento da função e pra isso basta que ele leia o contrato.
Vcs não os únicos a terem problemas com isso, e a história é basicamente a mesma.
Desconhecimento da existência da função (pois nem leu o contrato), pensar que excluindo o cartão não ia ter cobranças no futuro e não cancelar as cobranças recorrentes/assinaturas no próprio site.
A instituição foi transparente, pode-se até discutir o grau da transparência, mas ela foi, já que disponibilizou a informação no contrato do cartão que é o documento básico da relação usuário e instituição. Ela não deixou de ser transparente por vc não ter lido o contrato.
De resto é como o @Alexandre_Niess disse.
Primeiro vc deve tentar o cancelamento (e estorno) pelo próprio site.