Se você vai em “Sair do aplicativo” nas configurações você está se deslogando da sua conta. Isso não tem nada a ver com o aplicativo estar aberto ou fechado. E se você deslogar, as notificações não chegam mesmo.
Aqui pra mim as notificações chegam normalmente mesmo com o app totalmente fechado. Mas claro, você tem que estar logado na sua conta. Esse é o comportamento esperado.
O ladrão só conseguirá zerar sua conta se ele souber a sua senha de 4 dígitos do app do Nubank. Só desbloquear o aparelho não irá permitir que ele movimente sua conta.