2026年10月15日，Ledger在巴黎Op3n大会上发布Atom：一款名为“签名器”的智能手机形态硬件
2026年10月15日，Ledger在巴黎举办的Op3n大会上展示了一款外观酷似智能手机、但刻意区别于传统手机的产品——Atom。创始版售价为849美元，需支付100美元可退还押金进行预订，常规价格定为899美元。预计最早于2027年开始发货。
然而，此次公告中对你而言最重要的一点并非参数表上的内容，而是销售策略的改变：Ledger将独家通过其官方商店销售Atom。这意味着，以往通过电子产品零售商购买Ledger设备的中间渠道，将在此产品上被彻底取消。这并非单纯的营销决策，而是基于安全考量。
自10月9日起，Ledger正在调查通过东南亚某经销商销售的篡改设备，受此影响，德国的MediaMarkt和Saturn等大型零售连锁已暂停销售Ledger设备。分销渠道由此演变为一个独立的安全问题。本文将阐述Ledger的公告内容、其中的事实依据，以及这对你手中可能已经存在的设备意味着什么。
Atom规格与交付时间
Ledger将Atom称为“签名器（Signer）”。签名器是一种仅执行交易签名这一安全相关功能的设备，私钥永远不会离开该设备。使用这一术语旨在将Atom与传统“硬件钱包”概念区分开来，因为该设备同时也是一部功能完整的Android手机。
根据发布会公布的主要规格：
- 6.77英寸OLED显示屏
- 后置摄像头
- 4,000毫安时电池
- 高通Dragonwing系列处理器
- 仅支持数据的eSIM（不支持通话和短信功能）
此外，设备上配备了一个物理机械开关，可从电源层面物理切断摄像头和麦克风的连接。
关于发货日期，目前说法不一，既有提到2027年第二季度，也有提到2027年夏季，且均取决于尚未获得的审批。Ledger并未发布具有约束力的承诺。这意味着：如果你现在预订，实际上是为一台交付时间在一年以后且未排定具体日程的设备预留了100美元资金。
押金的法律性质
这100美元由Ledger自行负责退款。预订不等于购买：目前没有产品、没有交货日期，因此也没有保修服务。预订行为相当于向制造商提供了一笔无息、期限不确定的贷款。这在消费电子产品的预售中很常见，但仍需谨慎决定。
安全技术架构：Secure Element与Android并行
从技术角度看，Atom内部并行运行着两个世界。一侧是基于Android开源项目构建的Android系统，可运行普通应用程序；另一侧是运行在Secure Element（安全元件）上的Ledger OS（公司自有操作系统）。Secure Element是一个经过物理攻击加固的独立芯片，用于存储密钥并计算签名，而无需泄露秘密信息。Ledger声明该芯片的安全等级为EAL6+。
一旦涉及安全相关的操作，设备将切换至“安全模式”。在该模式下，安全处理器接管显示屏控制权，确保不会被篡改的界面误导，从而显示不同的收款地址。在此期间，专用的FPGA组件（一种可编程逻辑芯片）会将日常应用隔离在外。
这是对长期存在问题的清晰回应：若通过普通智能手机转移加密资产，你需要信任已安装的应用程序不会窃取数据。Atom旨在消除这种信仰之跃。然而，这种隔离是否真正有效，目前尚无法评判。目前尚无独立的架构审计，Ledger也未发布可供测试威胁模型的数据。
主动防护盾（Active Shield）
公告中与当前局势最相关的部分是“主动防护盾”。这是一种拥有独立电源的传感器层，旨在检测任何开箱、钻孔或探针接入的行为。如果检测到干预，它将向安全元件报告。包装和设备本身的封条则作为额外的物理保护。
该防护盾主要针对Ledger自10月9日以来关注的攻击类型。公司未公布相关技术数据，独立评估仍在进行中。专家中的普遍反对意见是：在没有公布威胁模型的情况下，保护声明无法得到验证。这是一个合理的观点，目前仍悬而未决。
销售渠道变革：中间商退出供应链
Atom将通过Ledger网站独家销售，不通过授权经销商。有消息来源补充称这是“初期”策略，因此该规则是否会永久持续尚不确定。背后的逻辑很简单：从工厂到用户的路线越短，中途可能被开箱检查的环节就越少。
对于德国市场而言，这是一项重大变化。多年来，大型电子连锁店一直销售硬件钱包，许多买家看重的是可以在实体店直接提货，而无需留下可能在后续被怀疑持有加密资产的配送地址。随着Atom的推出，这一优势将不复存在。
CryptoBilis案件：海外组件在设置期间捕获助记词
整个争论的起因来自Ledger自身的安全实验室Donjon。在一台通过东南亚经销商CryptoBilis销售的设备中，他们发现了一个内置的第三方组件。该组件在用户首次设置设备时捕获了助记词，并通过移动网络将其传出。助记词是恢复钱包所有密钥的单词序列；掌握它即掌握余额。
关键在于攻击的来源。据Ledger称，安全芯片和操作系统未被触碰。攻击者并未破解密码学，而是购买了真机，插入自制组件，然后将篡改后的设备重新投入流通。Ledger表示此事筹备数月，支出达数百万美元。对商店设备和仓库样本的检查未发现更多线索。
关于损失规模，流传着8600万美元、约9000万美元和9300万美元等不同数字，均未得到证实，且报道部分基于相同的线索。有一个个案得到了Chainalysis的证实：一名欺诈性招聘广告的运营者在9月22日将超过60枚比特币（当时价值约480万美元）转入三个Ledger地址，并于10月9日全部清空至调查人员认为属于被盗资金的目的地地址。
六个东南亚国家及香港的销售暂停
发现异常后，Ledger要求其在印度尼西亚、新加坡、泰国、菲律宾、越南、马来西亚和香港的合作伙伴撤回设备销售。同时，全球授权经销商面临新的要求：
- 退回的设备不得再次销售，无论包装看起来多么完好。
- 设备不得陈列在开放式货架上。
- 异常的客户报告应直接提交给Ledger。
这三项规定是整个事件中最具实际意义的部分，因为它们也影响了德国零售业。“退货规则”堵住了准备过的设备以退货形式重新进入销售的漏洞。“禁止公开陈列”则消除了攻击者在店内直接接触设备的机会。
竞争对手的反应
Trezor作为该市场的第二大提供商，表示未发现自家设备被篡改的迹象，但同样终止了与经销商的合作。两家制造商得出了相同的结论：中间贸易是最难控制的薄弱环节。
德国MediaMarkt和Saturn的门店购买现状
MediaMarkt和Saturn已暂停销售Ledger设备。具体而言，这条购买渠道目前不可用。何时恢复取决于调查结果及新经销商要求的执行情况。
需注意地理因素，以免引发不必要的恐慌：目前所知，发现的篡改涉及来自东南亚中间贸易的设备。在德国商店单元中未发现确凿证据。此处的销售暂停是零售商的预防措施，而非既定事实。
你的设备需要关注的三点：来源、封条和首次设置
如果你的抽屉里有一台硬件钱包，现在有三件事至关重要：
- 来源：直接从制造商订购的设备路径较短；来自市场列表、二手市场或退货的设备路径较长。
- 首次设置：新设备应自行生成助记词并向你展示一次。如果随附文档中已有现成的单词列表，或设备已设置好，应立即将资金转移到使用新助记词创建的 fresh 钱包中。
- 行为：如果在设置过程中设备未经提示便寻找移动或无线连接，则该设备不应处于服务状态。
棘手的部分在于：内部的第三方组件无法通过外部可靠地识别。Ledger自己的实验室也是在拆解设备后才发现的。因此，任何有严重疑虑的人都不应依赖视觉检查，而应将持仓转移到证明其密钥源自其他可信渠道获取的设备上的钱包中。
Solana Mobile的Seeker应用预装
Ledger是Solana Mobile首个硬件合作伙伴，后者向其传递了软件栈。Seeker应用预装在Atom上，将Solana Mobile的钱包与其去中心化应用商店链接，据报道该商店提供超过1,500个应用程序。确认过程同样通过安全模式进行。Solana Mobile引用Seeker的交易量为1.54亿笔，超过130亿美元，以及Seeker和较旧的Saga手机合计售出超过20万台设备。但这并不意味着Solana的价格会因此上涨：分销伙伴关系并不等同于资金流入。
849美元售价与100美元押金：预订条款解析
请正确理解价格。849美元远高于纯签名设备的成本，大致处于高端智能手机的价位区间。Atom兼具两者特性，而这正是开放性问题所在：一台每天联网、运行应用并携带摄像头的设备，比一台大部分时间躺在抽屉里、没有无线电功能的设备具有更大的攻击面。Ledger通过安全元件的硬隔离来回答这一点。这种权衡是否适合你，取决于你实际签名的频率。
加上时间差的因素，预订和交付之间间隔一年多。在此期间，价格、竞争产品和调查状况都会发生变化。在交付日期和独立审计结果出炉之前，推迟决定并无不妥。
事实核查：哪些已证实，哪些未证实
已证实的内容：10月15日的发布会、创始版849美元及常规版899美元的定价、100美元押金、与Solana Mobile的合作、七个市场的销售暂停、三项新的经销商要求，以及Ledger实验室发现的第三方组件。
未证实的内容：损失的总规模、防护盾的有效性以及具有约束力的交付日期。
Ledger首席执行官Pascal Gauthier总结了产品决策：“多年来，我们的客户一直在要求我们推出一款Ledger手机。今天，我们给出了答案。”对于Seeker集成，担任Ledger首席人力代理官的Ian Rogers表示，集成是合乎逻辑的，因为它让用户能够访问Solana生态系统，同时在安全性上不做出让步。
总结：在2027年交付前，你手中的设备才是关键
Atom无法解决你今天面临的问题，因为它最早也要到2027年才能交付。真正生效的是当前的经销商要求和电子零售业的销售暂停。你应该据此调整策略：
- 确定购买渠道：在零售暂停期间，最短的路径是通过制造商。哪些设备受影响及其区别详见硬件钱包对比分析。
- 解决临时方案：如果你目前没有任何可信的设备，对于小额资金需要一个权宜之计。选项及其限制详见软件钱包对比分析。
- 分离托管：你打算转移的资金不应与长期持仓放在同一设备上。对于活跃部分，欧盟持牌平台是一个选项，列于受监管的加密货币交易所下。
