Потому что аппаратный кошелек он хоть вроде и очень надежный, но "бог их знает, что они туда плеснули", а провода-то к интернету есть... Другое дело старый ноут без вайфая, блютуза, эзернета и лучше даже без usb...
В ноут вы точно также можете не знать, что туда запихали, в процессорах вон сколько уязвимостей найдено и не исправлено. Тоже самое с софтом большинства кошельков, что в них находится мало кто знает.
По уязвимостям процессоров не скажу, но, по-моему, это не то - это, возможно, можно как-то использовать, но это не исполняемый код, это не трояны. Софт нормальных кошельков открыт и проверяется сообществом. Но даже если допустить такой очень маловероятный сценарий, что на офлайн-машине сидит троян и ворует приватники, их же еще надо как-то передать хозяину через онлайн-машину (на которой тоже должен сидеть вирус-приемник). И передать не просто файлом, а через QR-код. Думаю, создать такую систему очень сложно, если вообще реально.