Возможно ли списание средств с карты без ввода кода с смс?

Реально. использование технологии протокола 3-d secure (verified by visa, mastercard® securecode и т. п.) в обязательном порядке нигде законодательно не закреплено, поэтому является правом оператора сайта, а не его обязанностью, хочет человек иметь доп уровень проверки данных пользователя-включает защиту. не хочет-не включает. притом включить можно и так, чтобы после первого ввода данных больше не запрашивалась смс.
он раз ввел данные, они запомнились да и всё.