... как именно незнание одноразового пароля при знании всех прочих реквизитов карты не дает возможности купить билет на www.rzd.ru по данным этой карты при наличии на карт-счете денег.
Насколько я выяснил, это может происходить следующими способами:
1 вариант: счет все время заблокирован, и перед платежом вы разблокируете его на один платёж очередным одноразовым паролем полученым из списка, токена итд
2 вариант: по очередному одноразовому паролю банк вам генерит реквизиты виртуальной карточки со всеми атрибутами, но с которой можно заплатить только 1 раз и не более указанной вами суммы, и переводит на эту виртуальную карточку деньги с вашего основного счета
ну и при желании можно реализовать и другие схемы использующие одноразовые пароли, только их естественно должен поддерживать бант-эммитент