Этот вопрос решается достаточно эффективно - прошивка подписывается электронной подписью и в случае, если подпись не совпадает, то такое обновление не ставится. Такая технология защиты применяется, например на компьютерах для защиты биоса от модификаций. Применена ли такая защита на леджере - мне неизвестно, если бы я был разработчиком, то это первое, о чём я подумал бы, начиная разработку.
Это нельзя назвать полноценной защитой, это просто своего рода индикатор, определяющий целостность и подлинность данных, но он не делает сами данные менее вредоносными. Это техническая сторона, но обычные пользователи мало заинтересованы в технической части и не будут утруждать себя чтением инструкций о том как проверить подписи, они не будут скачивать дополнительные программы и не будут запускать терминал для ввода команд. Они будут просто запускать софт и они будут зависеть от производителя аппаратного кошелька и от разработчиков выпустивших прошивку. А эти производители могут скамануться, от этого никто не застрахован, и они могут подписать вредоносный софт подлинными подписями. То есть, подписи хоть и подтверждают подлинность, но не защищают вас прлноценно от потери денег. Следовательно, обновление и необновление кошелька по-своему опасны и могут привести к потере средств.