네 맞습니다. 그래서 전송 여부가 제일 중요합니다.

posting key, active key를 전송하는가?
이 부분에서 전송 된다면, 일단 탈취되었든 아니든 언제든 사용될 수 있는 상태입니다.

하여, 키를 사용해서 트랜잭션 서명에만 사용하거나,
권한 부여에만 사용하는 식으로 위험을 줄일 수 있습니다.