Lab · Teardown
硬體錢包植入物 3D 拆解
從經銷通路買到的 Ledger 裡多了一塊板子：它讀取螢幕上顯示的錢包備份單字，再用行動網路送出去。改裝發生在出廠之後；植入板不改安全晶片和韌體，Ledger 的原廠驗證查不到。Trezor Safe 5 也有一份類似的通報，Trezor 尚未驗證。
拆解
比較
-
Trezor Safe 5
- 版本
- 一份通報，Trezor 尚未驗證
- 接在哪裡
- 主機板和螢幕之間多一塊板子；怎麼接上螢幕訊號，Trezor 沒有說
- 怎麼拿到畫面
- 讀取螢幕顯示的內容；螢幕由 MCU 經 9 位元平行匯流排驅動
- 怎麼送出
- 行動網路模組和天線
- 電池與供電
- 沒有電池，只有插上 USB 時才有電
- 資料來源
- Trezor 10/30 公告；原廠結構依 Trezor 開源硬體 rev. G
-
Ledger Stax
- 版本
- 一個版本（A），兩台
- 接在哪裡
- 植入板直接疊在主機板上，伸出一條短排線接到一顆小晶片
- 怎麼拿到畫面
- 怎麼拿到螢幕的內容，公開的照片看不出來
- 怎麼送出
- Nordic nRF9151（LTE-M／NB-IoT）；天線貼在背蓋內側，用同軸線接回 u.FL
- 電池與供電
- 報告沒有提到換電池
- 資料來源
- Karpelès Lab 的 OSINT 報告（@wentrre、@DesWeb4 的兩台）
-
Ledger Flex
- 版本
- 兩個版本（A、B）
- 接在哪裡
- 不用焊：螢幕排線和主板接頭之間多插一段延伸排線，植入板在端蓋那一側
- 怎麼拿到畫面
- 延伸排線把同一組螢幕訊號分給植入板；版本 B 的 STM32U575 放得下整個畫面（約 144 KB）
- 怎麼送出
- LTE 模組和 SIM；版本 B 的天線平貼在植入板上方，用 u.FL 接回
- 電池與供電
- 原廠約 200 mAh；版本 B 換成 160 mAh
- 資料來源
- 拆機照片：Karpelès Lab、BigFang、Ledger 官方
-
Ledger Nano X
- 版本
- 四個版本（A–D）
- 接在哪裡
- 焊在主板螢幕 SPI 的測試點 TP31、TP34、TP35
- 怎麼拿到畫面
- 只聽安全晶片送到 OLED 的 CS、CLK、MOSI，不送任何訊號
- 怎麼送出
- LTE，預先配好的 eSIM
- 電池與供電
- 原廠 100 mAh；版本 A 換成 70 mAh、版本 D 換成 130 mAh
- 資料來源
- 研究者拆解：Karpelès Lab、Tibane Labs、Joe Grand、Johannes