El equipo anfitrión prepara las transacciones (PSBT, RLP de Ethereum o datos EIP-712) y el dispositivo verifica lo que puede: las salidas y las rutas de cambio en Bitcoin, los destinatarios y los importes en transferencias simples, y los campos decodificados cuando dispone de metadatos. Firma con claves derivadas de la semilla BIP-39, que nunca sale del dispositivo, y debería mostrar las direcciones completas para compararlas.
Su perímetro de seguridad termina donde la pantalla deja de ser informativa: los hashes firmados a ciegas, las llamadas a contratos desconocidos y los mensajes permit lo anulan. Las buenas prácticas son verificar en el dispositivo las direcciones de recepción, mantener el firmware actualizado desde el canal del fabricante, proteger la copia de seguridad de la semilla con más cuidado que el propio dispositivo y usar multifirma con dispositivos de distintos fabricantes para grandes saldos.