Hallo @Stadicus !
Bezüglich Verifikation:
Super wenn es in Zukunft mit Android alleine auch funktioniert. Nicht jeder hat einen Desktop oder Laptop. 
Bezüglich:
Bitte nicht auch noch die Datenkrake Gmail. 
~$ nslookup -q=mx shiftcrypto.ch
Server: 100.64.0.55
Address: 100.64.0.55#53
Non-authoritative answer:
shiftcrypto.ch mail exchanger = 10 alt4.aspmx.l.google.com.
shiftcrypto.ch mail exchanger = 5 alt1.aspmx.l.google.com.
shiftcrypto.ch mail exchanger = 5 alt2.aspmx.l.google.com.
shiftcrypto.ch mail exchanger = 1 aspmx.l.google.com.
shiftcrypto.ch mail exchanger = 10 alt3.aspmx.l.google.com.
Authoritative answers can be found from:
Wenn ich mit einem Bitcoin Hardware Hersteller in Kontakt treten möchte erwarte ich mir höchste Seriosität und Diskretion. Da bleibe ich lieber gleich hier im Forum.
Bezüglich Cloudflare:
DDoS Attacken sind teuer und dauern nicht ewig. Aus Eigeninteresse bieten einige Hoster kostenlose Filter an um ihre eigene Infrastruktur zu schützen. Funktioniert ganz automatisch und ohne die SSL/TLS Verschlüsselung zu brechen:
Sollte das immer noch nicht reichen kann vorübergehend als letzte Konsequenz Cloudflare innerhalb von 3600 Sekunden zu- bzw. abschalten werden. Aber bitte nicht permanent an lassen.
Da heißt es immer um Manipulation einer Hardware Wallet vorzubeugen soll man direkt beim Hersteller bestellen. Und da erwarte ich mir keine dritte Parteien in meiner Bestell- bzw. Lieferkette, die meine Bestellung und meine Versandadresse kennt und die meine Bitbox abfangen und manipulieren könnte.
Bezüglich GitHub:
Nur ein weiterer zentraler Dienst der zwar nicht hinter Cloudflare ist aber von Microsoft kontrolliert wird. Wie du richtig bemerkst, Prüfsummen und Dateien dort zu verteilen macht keinen Sinn. Schau dir echt bitte mal das Konzept von Zapstore genauer an. Ist zwar erst in Entwicklung aber macht richtig Sinn: