Вам и конкретно на утверждение про изъятие карты со стёртым CVV кассиром.
Даже лично подписывал авторизацию по вот-такой бумажке (по скану).
a-z, лучше ^\d, и плохая скорость на неудачных проверках, ибо группу слева и справа можно сформировать n способами. Вот вариант чуток улучшенный:^(?:[^\d]*\d){0,3}[^\d]*$