Но, ведь, можно сделать перевод токена транзакцией с нулевой gas price, то есть, с нулевой комиссией. И тогда, получается, не нужно заводить ETH на скомпрометированный адрес, чтобы вывести с него токен.

Вот пример такой транзакции: https://etherscan.io/tx/0x03b967af30fd36160f63e1f6f8f97cd38ab15a7f5894db64896460052d0bdb4e