Вопрос задан верный.
По задумке все операции с ключами производятся локально в браузере клиента. Т.е. с сайта скачивается страница в браузер, эта страница работает с ключами, а на сервер отправляется только уже сформированная и подписанная транзакция.
В теории хакеры/скамеры могут внедрить код, который будет ключи отправлять на сервер злоумышленника.
Всё похоже на использование MyEtherWallet в эфире.

Для секьюрности рекомендуется, во-первых, пользоваться моделью кошелька, а во-вторых, пользоваться десктопными приложениями, а не web-мордой.

Есть референсная web-морда https://wallet.bitshares.org. По идее её даже можно с github скачать. Только обновлять надо периодически, разработка довольно активно ведется.