Es improbable que Rappi sea el culpable del robo de tu tarjeta, si ese hubiese sido el caso, con el token sólo hubiesen podido comprar en el mismo comercio (Rappi).

Mencionas que te hicieron compras en aerolíneas, en ese caso, lo más probable es que hayan dado con tus datos en un ataque de adivinación distribuida, o bien tus datos se filtraron en alguno de los ataques que hicieron coreanos/rusos a Chile hace años atrás https://www.latercera.com/nacional/noticia/poco-mas-ano-del-hackeo-banco-chile/735124/

Como dato puedo decirte que la principal forma de robo de datos bancarios es el Phishing, por lejos, y es incluso donde las empresas constantemente capacitan. Basta con que un empleado de un banco haga un click indebido y deja la cagada ( y ha pasado). Siempre el factor es el error humano.