Isso já está sendo testado há bastante tempo, não surgiu do dia pra noite e todo e qualquer sistema sempre vai falhar.
O sistema Pix do Banco Central foi sim bastante testado. Tanto que funciona sem problemas durante praticamente 100% do tempo.
Até pouco tempo atrás era possível realizar transações com mensagens sem sanitização, o que facilitaria ataques por XSS. Isso é basicamente um erro fundamental ao projetar um sistema.
Bradesco faz isso até com transferência entre contas Bradesco. Parece que a transferência vem de malote.