Du kannst dem Lastschrifteinzug mindestens 1 Jahr lang widersprechen, also keine Panik.
Nicht Paypal wurde gehackt, sondern du, streng genommen!
Irgendwer kam über einen Hack, z.B. bei Sony, Pron.com oder wo auch immer an deine Mail und das dazugehörige Passwort.
Sowas wird dann gerne bei weiteren Diensten getestet, ob du da das gleiche Passwort hast. Wenn ja, wird fleißig gekauft.
Solltest du also das gleiche Passwort bei diversen Seiten genutzt haben bist du, so hart das klingt, selber schuld und siehst keinen Cent wieder.