Это вопрос доверия. Как ты проверишь, что ключ не хранится во флэше того контроллера, который находится во внешнем доступе, в дополнение к копии в защищенном чипе? Никак. Только доверяя компании, которая произвела Леджер и аудиту этой фирмы другой фирмой.