Я сейчас предположу вероятную картину.
Покупатель из Крыма по ошибке заходит на Privat24.ua вместо поддомена для А-Банка.
Удивленный отказом в доступе, восстанавливает его используя данные купленной карты на руках.
Удивляется, что карта не добавлена, сначала не поняв, что попал в сам Приват (ранее уже добавлял карту в Приват/А Банк банкинг).
Это удивление есть на скрине переписки.
Далее, разобравшись что имеет доступ к карте, стал красть деньги, каждый раз имея возможность восстанавливать доступ.
Дроп и дроповод, конечно, не при делах, тут понятно теперь
Ответчик действительно мог не знать о такой дыре, но, как говорится, незнание законов не освобождает от ответственности.
Получается, что я должен, потерпев материальные убытки довольствоваться "извините, я не знал". Охотно верю, но мне от этого не проще.
P.S. Карточка А-Банка после разговора с представителем СБ, конечно, заблокирована.
P.P.S. Девочка, на данные которой перевели деньги, конечно, будет рада интересному знакомству.