Teardown · Ledger Nano X · 2025–2026
Ledger Nano X 植入物 3D 拆解
把 Nano X 一層層拆開：螢幕由安全晶片直接用 SPI 驅動，植入物就焊在這條線的測試點上。拖曳可以旋轉、雙指或滾輪可以縮放；切換下方的版本，看每一代植入物放在哪裡、接了哪幾根線。
從螢幕到攻擊者手上：五個步驟
-
1 · 產生
設定錢包時，安全晶片 ST33 產生 24 個單字。私鑰從頭到尾不離開晶片。
-
2 · 顯示
單字要給人抄，安全晶片透過 SPI 把點陣送到 128×64 的 OLED（SSD1312）。
-
3 · 竊聽
植入物只聽 CS、CLK、MOSI，不送任何訊號。裝置本身察覺不到。
-
4 · 解碼
MCU 比對點陣字形，還原單字，先存在 flash（第一代韌體寫在 0x7000）。
-
5 · 送出
助記詞顯示完之後，用預先配好的 eSIM 走 LTE 送出。只要成功一次。
為什麼 Genuine Check 抓不到
Genuine Check 驗證的是安全晶片，不是電路板。植入物只在旁邊被動監聽螢幕的訊號，安全晶片本身沒有被改，所以驗證照樣通過（Ledger 威脅模型原文也這樣寫）。零件型號與接點來自研究者的拆解：Joe Grand（第一代與韌體）、Tibane Labs（第二、三代）、Mark Karpelès 的公開資料庫與 Nano X 測試點對照表。Ledger 只公布了功能描述，沒有公布任何零件型號。