Topps produkter inkluderar Star Wars, Disney's Frozen, Top Gear och UEFA mästare ligan.
New York-firman berättade för BBC att sårbarheten sedan dess hade åtgärdats.
Men en säkerhetsforskare sade att han tidigare hade varnat företaget för säkerhetsbrister.
Topps avböjde att säga hur många som påverkades eller varför betalkortsnummer var i riskzonen. I de flesta hacka attacker, företag försäkrar användarna att de inte lagrar sådana finansiella data i en form som kan exponeras.
I ett e-postmeddelande till kunder skrev Topps att den 12 oktober fick "en eller flera inkräktare obehörig åtkomst" till sina system.
"[De] kan ha fått tillgång till namn, adresser, e-postadresser, telefonnummer, kredit- eller betalkortsnummer, kortutlöpande datum och kortverifieringsnummer för kunder [som gjorde inköp] mellan cirka 30 juli 2016 och 12 oktober 2016," tillade den.
Det erbjuder ett års gratis identifiering av stöldskydd till de drabbade.
Olika kunder har postat e-posten på sociala medier och den är också tillgänglig på Sports Collectors Daily hemsida.
Topps är delägt av en fond som tillhör Michael Eisner, den tidigare verkställande direktören för Disney.
"Den verkligt oförlåtliga aspekten här är förlusten av kreditkortsuppgifter," sade cyber-säkerhet expert Prof Alan Woodward från Surrey University.
"Om detta var en extern attack, bör dessa detaljer bara inte vara tillgängliga eller läsbara. En uppenbar fråga är, var kunderna finansiella data krypterade?
"Om inte det skulle dra till sig stor uppmärksamhet från lämpliga tillsynsmyndigheter."
Chris Vickery, en säkerhetsforskare från Chromatech bloggade i juni om exponerade databaser av kundkonton med tre av Topps mobilappar: Bunt, Huddle och Kick.
Han skrev att det var fixat. Men senare hittade han en annan databas som innehåller information om användarna av alla tre appar, och vid detta tillfälle inte kunde få ett svar från företaget.
"Jag kan inte med gott samvete titta på denna data fortsätter att läcka utan att åtminstone försöka få ut en varning," sade han på den tiden.
Maker av ikoniska samlarbara handelskort har sagt hackare kan ha stulit kunders kredit-och betalkortsnummer tillsammans med deras tillhörande säkerhetskoder i en nyligen överträdelse.