Насколько USB токен с ЭЦП безопасен для Интернет банкинга? Можно ли с него похитить ЭЦП с помощью трояна, вируса и т. д.?

Всё зависит от самого ключа, например, если экспорт закрытого ключа для текущего сертификата запрещён, то его уже никак и не вытащишь.

Если даже и разрешён, то ещё ведь нужны логин и пароль для доступа к самому банку + чаще всего идёт подтверждение входа с мобильного телефона. К тому же ЭЦП имеют свою аппаратную защиту. Так что, пока что, ничего безопаснее не придумали.