完全正确，这种可能性非常高。
如果是一张平时几乎不使用、从未在任何网站上绑定过的闲置卡，突然出现了一笔 6 刀左右的小额异常消费并被银行直接拦截（Decline），极大概率就是碰上了“BIN Attack”（卡号生成器撞库攻击），而不是你的个人信息泄露了。
具体是这样发生的：
-
撞库机制： 信用卡的前 6 到 8 位数字（即 BIN 码）代表发卡银行和卡片级别，这是公开且固定规律的。盗刷集团会利用算法，固定 BIN 码后，随机批量生成剩下的卡号、未来几年内的到期日（MM/YY）以及随机 3 位 CVV。
-
脚本批量测试： 他们使用自动化程序在防范较弱的商户网站上批量测试这些自动生成的卡号组合（比如连续尝试几百个组合去扣 $6）。
-
正好撞中： 你的闲置卡卡号和到期日组合不幸被他们的计算算法“猜中”了。
-
银行风控拦截： 银行的风控系统监测到该商户短时间内有大量连续的、有规律的测试性扣款，或者发现该扣款来自于高风险 IP 地址/异常渠道，就会自动识别为 Card Testing（试刷），从而直接拦截掉这笔交易并帮你锁卡或发通知。
这种情况下，你的名字、账单地址、SSN 甚至真实的实体卡都依然是安全的，只是单纯数字组合在算力攻击下被随机套中了而已。银行直接拦截并换卡，是最标准的风险隔离方式。