Как подпись работает без выдачи ключа
Устройство это не флешка с файлом. Это маленький компьютер, который выполняет одну операцию и отказывается делать что-либо ещё.
Неподписанная транзакция передаётся в него по USB, по Bluetooth или через QR-код. Устройство показывает адрес назначения и сумму на собственном экране, ждёт физического нажатия кнопки, подписывает транзакцию внутри себя и отдаёт готовый результат. Ключ ни в один момент этой последовательности не появляется на подключённой машине.
Экран здесь недооценивают чаще всего. Вредоносная программа на компьютере умеет подменять адрес в буфере обмена, и единственная защита от этого прочитать адрес на дисплее, до которого программа не дотягивается.
Устройства получше хранят ключ в защищённом элементе: чипе того же класса, что стоит в банковских картах, устойчивом и к физическому извлечению, и к программным атакам.
От чего защищает
От вредоносных программ, перехватчиков клавиатуры, подмены буфера обмена, фишинговых сайтов и полностью скомпрометированного компьютера. В каждом из этих сценариев атакующий видит экран, читает файлы и управляет сетью, и при этом не может подписать перевод без устройства и нажатия кнопки.
От чего не защищает
Три вещи, и на них приходится большинство реальных потерь.
Утёкшая сид-фраза
Устройство теряет всякий смысл, если фраза лежит в галерее фотографий. У кого эти слова, у того и кошелёк.
Подготовленное устройство
Аппаратный кошелёк, купленный с рук или у неофициального продавца, мог быть инициализирован кем-то, кто сохранил себе фразу. Только новый, запечатанный, от производителя или авторизованного продавца.
Подтверждение не глядя
Устройство показывает адрес и ждёт одобрения. Одобрить, не прочитав, значит обнулить весь механизм.
Зачем он бизнесу
Для резервов, а оборотный контур живёт отдельно.
Входящие платежи клиентов надо принимать автоматически, и это требует подключённой системы. Аппаратный кошелёк стоит за ней и держит остатки, которые бизнес не тратит в этом месяце. Фраза при этом лежит под письменной процедурой: кто имеет доступ и что происходит, когда сотрудник уходит.
Бизнес, который рассчитывается через шлюз с конвертацией и выплатой, может вообще не держать криптовалюту, и тогда вопрос отпадает.