Um site com cartão salvo é suficiente para ter ele vazado. Já ocorreu comigo (não hoje especificamente), você pode contestar essa compra, bloquear o cartão virtual e gerar um novo.
Eu já removi o cartão virtual e contestei a compra aprovada. Só queria entender como descobriram meus dados, pq geralmente os sites não salvam todos os dados do cartão.