Quem valida, ou autoriza sem validar, é o banco emissor do cartão. Alguns não te dão nem bom dia se não acertar o CVV2 (o CVV está presente apenas na trilha ou chip) , outros são mais relaxados nisso. Mas isso precisa de uma transação... na geração do token não dá para o lado adquirência (neste caso, a Efí e o adquirente que ela usa) validar se está certo ou errado.