Это взлом 2?

[VúSale]

это сообщение в ЛК означает что какой-то умник зашёл в мой кабинет

Именно это и означает, и он не пытался, он стырил, увы.

Пароль сменить достаточно, или надо что-то ещё сделать? Точно ли при аннулировании запроса вернутся бонусы? Можно ли заблокировать этого чела?

Ну да, я использую сложные пароли и логины.

Нужно сменить пароль у аккаунта и почты,и взять себе в привычку менять пароли раз в 3-5 месяцев от всех аккаунтов/сервисов.
Наказать человека который попытался купить вещи нельзя.