Minha idéia de custom rom é opicional, você pode continuar na stock rom e desabilitar ou desinstalar apps.
Prefiro degoogle e remover mínimas possíveis ameaças de telemetria.
Quanto a riscos ataques físicos, todas as carteira físicas possuem, pra resolver isso, usaremos passphrase.
