硬件钱包的整个安全模型建立在一条假设上：私钥永远不离开那颗安全芯片，签名在设备内部完成，主机端只看到签名结果。攻击者通常的做法是攻破固件、伪造签名界面、或者劫持升级通道，都是在"设备内部"做文章。

过去一周发生的事情把这个假设整个掀翻了。攻击者没有碰安全芯片，没有改固件，没有利用任何软件漏洞。他们做的是：在设备里塞进一块独立的小板子，上面挂一个 LTE 模组、一根天线和一枚 eSIM，用额外的一颗微控制器去"看"屏幕上显示的助记词，然后通过蜂窝网络把种子发出去。整个过程安全芯片毫不知情，因为它确实没被篡改。

这不是理论推演。这是已经拿到钱的实战，规模在 1 亿美元量级。

攻击链拆解：种子是怎么被偷走的

先看攻击面。Ledger 的恢复种子不会从芯片直接穿过主机，它必须在设备自带的小屏幕上逐字显示出来，让用户抄写。这条"芯片 → 屏幕"的链路就是整个设计的突破口。

植入板做的事情很朴素：在屏幕到主控的显示总线上做被动窃听，或者直接用摄像头模组对屏幕做 OCR。HN 上的讨论提到过 OCR 方案，说明至少有一版是光学读取的。关键点是它完全不介入签名流程：安全芯片生成的密钥、算出的签名都是真的，用户看到的界面也是真的。

攻击链分四段：

  1. 静默待机：植入板在用户首次初始化、设备生成随机种子的那一刻之前一直休眠。没配对、没联网、不发热。
  2. 抓取种子：初始化时设备把助记词逐字符送上屏幕，植入板同步复制，落进本地存储。
  3. 蜂窝外传：微控制器拉活 LTE 模组，通过 eSIM 就近接入基站，把种子数据发到境外服务器。这一步不依赖用户的 WiFi、不依赖主机、不需要任何配对授权。
  4. 后台归集：种子汇入攻击者服务器，钱包被离线索引，等待合适的收割时机。

eSIM 是整个设计里最关键的一环。它不是某个固定运营商的卡，而是能跨区域漫游的嵌入式 SIM，插在哪个国家就在哪里的网络上线。有研究者从自己手里的 eSIM 里读出了"最后一次连接的基站位置"，反过来定位出了植入板的制造点。这是设备侧取证能给出的最有力的线索：eSIM 里残留的注册信息，本质上是一张生产地和分发的热力地图。

三代植入板的进化史

真正让这件事从"孤例"变成"产业"的，是植入板本身的迭代速度。

第一代（Joe Grand 在 2025 年末发现）：一捆手工焊接的飞线，从植入板直接飞到 Nano 的屏幕排线上，去截取每个字符。任何人拆开外壳一眼就能看出不对。设计能跑，但完全没有隐蔽性，像是原型验证。

第二代（Mark Karpelès 今年 9 月发现）：换成橙色的透明柔性电路板（flex PCB），整片层压到底板上，只在几个点位焊接，飞线没了。为了腾出空间，原来的电池被换成了更小的一颗。板上印着日期码，指向 2025 年 12 月或之后。这一版已经像是小批量试产。

第三代（同样是 Karpelès 发现的、从马来西亚发出的设备）：拆开以后，内部和一块未改动的 Nano X 几乎看不出区别。唯一的破绽是沿底板上边缘走的那根细黑色天线。柔性板被涂成了和正版底板一样的黑色，元件丝印被打磨掉，原装电池保留。攻击者只是抽掉了屏幕后面原本的缓冲垫来腾空间。

最狠的一处细节在丝印上：天线旁边印着 AC-A2016-NANO-V1.1。NANO 标的是攻击目标机型，V1.1 说明这个射频组件至少已经改过一版。Karpelès 的评论很到位：为单一机型专门设计和订购射频元件，这已经不是个人爱好者的手工活，而是走量产流程的定制零件。有人开了模具，下了单，做了至少两次修订。

一位日本研究者从 Amazon、Lazada 等非授权渠道买了十台 Nano X，全部带植入。他在里面认出了五种不同的植入版本，有的极其精良，有的非常粗糙。这说明要么是同一个团伙在做版本迭代，要么是多个团伙在互相抄设计并各自改进。无论哪种，都指向同一件事：设计蓝本已经在黑产里扩散开了。

这次为什么踩到了授权经销商

过去几年，官方和社区反复强调同一句劝告：只在官网或授权经销商买硬件钱包。这句话之所以成立，前提是授权渠道本身是可信的。

这周这件事直接把这个前提打穿了。最初发现的植入设备来自马来西亚的一家授权经销商 CryptoBilis（授权覆盖马来西亚、印尼、菲律宾）。紧接着，德国一位用户报告在 MediaMarkt（欧洲最大的电子连锁之一，Ledger 在奥地利、德国、西班牙、土耳其的授权经销商）线下门店买的 Nano X 里也有植入板。他周末又去同一连锁的另一家店买了一台，拆开还是有问题。

这里有一个特别值得咀嚼的攻防逻辑。攻击者为什么要冒着被抓的风险去攻授权渠道？因为信任就是分发能力。攻下非授权卖家，你只能影响那些"图便宜"的用户；攻下授权经销商，你直接把信任背书变成了分发网络，销量和地理覆盖都上了一个量级。

Ledger 的官方回应是建议经销商"只从授权渠道进货，绝不上架退货商品"，暗示问题可能出在经销商进了来路不明的货、或者把拆封退回来的设备当新机重新上架。但 MediaMarkt 的员工对用户说，他买的是全新机，退货是退回给 Ledger 而不是重新上架。而且关键的时间线更可疑：CryptoBilis 在今年 3 月悄悄换了主人，这笔收购直到这周末被网友扒出来才公开。原来的联合创始人说交割后他们"已经完全退出所有运营、系统权限和管理"。一家授权经销商的实控人变更被捂了半年多，恰好和植入设备开始大规模流入的时间窗口重合。

我没有证据说经销商是共谋。但一家授权渠道的实控人变更 + 供应商无感知 + 半年静默，这个组合本身就是供应链攻击最经典的信号之一。

我们该从这件事里学到什么

第一，"不联网所以安全"是个错误前提。 硬件钱包被默认当作气隙设备，因为它只有 USB 或蓝牙连主机。但气隙假设只对"设备自身不主动联网"成立，它对"设备里被塞进一个独立联网模组"完全无防护。攻击者需要的只是一个物理放置植入板的机会，代工厂、仓储、返修、经销商任一环节都行。这是物理供应链完整性问题，不是密码学问题。

第二，屏幕是新的侧信道。 助记词必须显示，显示就有泄漏面。飞线截屏、总线监听、摄像头 OCR 都是同一个洞的不同实现。任何"必须在屏幕上向用户展示秘密"的设计，都要重新评估这条链路的物理可达性。值得一提的对比：安全芯片本身干干净净，被攻破的恰恰是安全芯片"之外但同机"的那部分。

第三，Detecting 只能靠物理开盒。 第三代植入的丝印、涂层、零件号都被处理过，软件侧没有任何可检测的特征：固件是官方固件，签名校验通过，设备行为正常。目前唯一可靠的检测方式就是拆机看内部。这对普通用户基本不可行，等于说上游供应链一旦失守，下游用户没有补救手段。

第四，多签是当前最实际的对冲。 与其纠结单台设备是否被动手脚，不如在协议层分散信任：用不同厂商、不同采购批次的硬件钱包组成 2-of-3 多签，任何单一设备的种子泄漏都不足以签出有效交易。这个方案的代价是操作复杂度，但它把"单点物理失守"的后果从"全部资产归零"降级成了"一台设备作废"。事件的连锁反应已经出现了：Trezor 的母公司 SatoshiLabs 宣布大幅缩减授权经销商名单，2027 年 1 月起把一批卖家从授权列表里移除——他们承认没有证据表明自家设备被攻破，但主动收紧渠道来对冲同类风险。

一句话总结：这次攻击没有破解任何密码学，它破解的是"你信任这只盒子"这件事本身。 硬件安全的边界从来不只是芯片，还包括从晶圆厂到你家门口的这一路上，有多少只手能碰到它。

信息来源：Zero Day 的完整调查报道、BleepingComputer 对 Ledger 官方回应的报道，以及 HN 上关于 Joe Grand / Mark Karpelès 研究的讨论。