Apenas na memória, conforme a necessidade. A imagem do disco permanece totalmente criptografada no disco; o sistema operacional descriptografa apenas trechos da imagem do disco à medida que eles são lidos no disco e sempre criptografa novamente esses trechos antes de gravá-los no disco.
A atividade de sincronização que você está vendo é porque partes da imagem do disco são modificadas enquanto ela é aberta (por exemplo, para atualizar os horários do último acesso, as opções de pasta e os metadados semelhantes). Isso pode ser evitado montando a imagem do disco como somente leitura.