Pour qu'il puisse staker (a moins que ça aie changé) il faut que ton wallet, si il est chiffré, soit dévérouillé pour permettre le staking.
Donc si une personne malveillante se connecte à cette machine, elle pourra s'envoyer les coins sur une addresse qui lui appartient.

Autrement, si ton fichier est chiffré, et que la personne se connecte, comme ça elle ne pourra rien faire.
Mais c'est dans le cas où tu ne stake pas car ton wallet est pas dévérouillé. Si elle récupere le wallet.dat, elle pourra rien faire.

Par contre, si j'étais malveillant et avec un tel accès à disposition, je mettrais en place un mécanisme de keylogger pour récup la passphrase.
Donc ne pas se fier uniquement à ça.

Garde a l'esprit que la robustesse globale d'un système de sécurité est égal à la robustesse de son maillon le plus faible.
Tu peux mettre une porte blindée, mais si les charnières sont encastrées dans du placo, ta porte sert à rien.

Hésites pas à me poser tes questions sur Telegram, j'y répondrais quand je peut.