基本、カード会社が補償だろ。
ペイペイ経由の総当りで突破されたとしても、ロックかけずに本人認証だしたカード会社の責任。
ペイペイからの総当りについてはペイペイも悪いから4対６、3対7とかでペイペイも負担。