Проверял в блюстаках и на рутованом ведроиде. Соединение идёт по https, если хттпс по каким-то причинам не доступен - вместо приложения белый экран, оно отказывается работать без шифрования.

И кстати говоря. Приватные ключи даже в браузере не покидают браузер. Транзакции подписываются прямо в бродилке с использованием ключа, то есть пароль даже не передается никуда. Там подгружается куча библиотек по криптографии на джаваскрипте.

получается, что заходить через HTTP тоже достаточно безопасно.