в любом случае хранение двух зашифрованных ключей - костыль, по этому ждем статью :)
на основе пинкода ты все равно генеришь ключ для шифрования токена, когда включаешь вход по биометрии, просто генерируется в keystore ключ и ставится флаг доступ только по биометрии, этим ключом ты можешь зашифровать ключ сгенерированный на основе пинкода...тогда, когда у тебя пользователь будет входить, он приложент палец, расшифрует в кейсторе ключ на основе пинкода, ты уже им расшифруешь токен и отправишь на сервер, так же юзер сможет ввести пинкод, если палец там мокрый, и ты сгенериш на основе пинкода тот же самый ключ, который у тебя лежит зашифрованный