Что значит "закрытый ключ был скомпрометирован при создании"? Покупатель кошеля стал пользоваться кошельком, где уже был сгенерирован заранее приватный ключ? Или там какое-то встроенное шпионское программное обеспечение было, которое каким-о образом слило новый сгенерированный приватник?
При этом очень старательно избегается упоминание производителя и модели аппаратного кошеля, хотя если там было внедрено стороннее ПО, то это сильная уязвимость вообще-то.