Faça como o amigo disse, já mude sua senha, tire seu cartão e ligue imediatamente para o suporte registrando sua reclamação e que você deseja ter seus pontos de volta.
Eles vão dizer que a política da empresa é de não devolver, aí você diz que independente da política da empresa aqui no Brasil existe o Código de Defesa do Consumidor, que diz que o consumidor tem o direito de desistir de qualquer compra realizada pela internet em um prazo de até 7 dias. Então diga que mesmo que ele se negue a fazer o estorno, você gostaria de registrar seu interesse de desistir da compra por razões de roubo de senha. Anote o protocolo!
Bem, por se tratar de uma denúncia de roubo pode até ser que eles devolvam na hora, mas caso ocorra o que eu disse acima fique mandando e-mails com o número de protocolo, abra reclamação no ReclameAqui, e se for o caso até no Procon.
Você irá receber uma ligação da Microsoft provavelmente em até 1 mês (ou menos) e seus pontos serão estornados. E você ainda vai continuar com o conteúdo que foi adquirido indevidamente.
Falo isso por experiência própria pois eu comprei o Gears 3 sob demanda na Live BR e ele não funcionou online por causa de um bug. Eu fiz tudo isso que te disse (sem precisar de Procon) e em 1 mês tive o dinheiro estornado. E o melhor, continuei com o jogo. 2 meses depois saiu uma atualização que corrigiu o bug, agora estou com o game funcionando!
O resumo da história é: se foi lesado, reclame e busque seus direitos!