По факту при наличии рута в любом случае можно найти лазейку декомпилировав приложение и отключив например таймаут на количество неверно введенных паролей. Именно по этому тот же Сбербанк клиент при наличии рута на телефоне не позволяет производить денежные операции.
А вообще вы ответили на свой вопрос - используйте пинкод, а чтоб его не взломали делайте таймаут. Либо используйте сложный ключ, зашифрованный пинкодом. При определенном неверном количестве ввода пинкода, пароль удаляется безвозвратно.