У дурака и листочек с приватником могут из ячейки попросить под предлогом, и он его отдаст.
Аппаратные кошельки еще никто не взламывает. Они как раз защищают вашу крипту от вашей же глупости. Владелец не знает приватный ключ и не имеет к нему доступа. Что бы увести оттуда средства, нужен сам девайс и пин код, который по ошибке невозможно ввести ни на каком фишинговом сайте.
Это не слухи, такое заявление от производителя действительно было месяц назад. Но никаких прецедентов у юзеров не было. Они сами нашли уязвимость и обратили внимание на это (вероятность подмены адреса). Возможно уже и исправили. Просто нужно чуть внимательнее быть.