А чем "беспредел"? Это стандартная практика в западных странах - верификация карты / плательщика. Тем более если оплата без 3DS.
Иначе всякие кардеры и прочие мошенники будут чужими крадеными картами платить, реальные владельцы потом отзывать платежи, а хостер потом должен оплачивать этот фрод из собственного кармана?
Если карта действительно не краденая, а как вы пишите "на приятеля", в чем проблема подтвердить данные, выслать фото карты?
У вас два варианта:
1. Написать им и попросить сделать рефанд. Они в целом адекватные ребята, и отменят проблемный платеж без каких-то особенных сложностей и сборов.
2. Инициировать чаржбек в банке-эмитенте. Скорее всего закончится все тем же рефандом. В случае именно чаржбека, "наказать", как вы выразились (кстати, за что?) их вы сможете на сумму порядка 15-20 USD, и это максимум (типичный размер штрафов за чаржбек в популярных процессингах). Стоимость рассмотрения эмитентом и риски для кардхолдера в случае отрицательного решения - см. тарифы банка.