Ну не совсем так. На сервере в банке хранится т.н. хеш. Т.е. результат криптовзаимодействия пин кона и ключа, который записан на карте. Вот этот самый хеш передается с банкомата и сравнивается. А сам пин не хранится нигде и банк его не знает.
В первом приближении гдето так.