前 Mt.Gox 執行長 Mark Karpelès 10 月 9 日在 X 上表示，他手上一台來自馬來西亞的 Ledger Nano X 疑似被植入間諜模組，模組含 LTE 通訊元件、天線、eSIM 與接在螢幕 SPI 匯流排上的微控制器。慢霧合夥人暨首席資訊安全官 23pds 隔天推測了助記詞外洩的流程，並補充目前都是猜測。
（前情提要：抖音販售冷錢包「遭竊690萬美元」，慢霧分析：生成私鑰途中外洩）
（背景補充：冷錢包新詐騙》購入新Trezor遭植入「微型晶片」，用戶丟失百萬加密貨幣）
重點摘要
- Mark Karpelès 10 月 9 日稱一台 Ledger 疑遭植入間諜模組
- 植入模組含 LTE、天線、eSIM 與微控制器 4 項元件
- 慢霧 23pds 10 月 10 日推測模組監聽螢幕線路錄下助記詞
曾任 Mt.Gox 執行長的 Mark Karpelès 台灣時間 10 月 9 日晚間 11 點多在 X 上發文，說他那台疑似被植入間諜模組的 Ledger 來自馬來西亞，外包裝的熱縮膜完好。他表示，拆開外殼後一開始也看不到植入物，因為它藏在螢幕原本應該放緩衝墊的位置。
My spy-implanted ledger came from Malaysia, and had flawless shrink wrap. Even opening it, at first you don't see the implant which is cleverly hidden where the screen's padding is supposed to be.
Follow Ledger's guidance to check yours: https://t.co/FlOjWvqkZw pic.twitter.com/D8mixF1o9L— Mark Karpelès (@MagicalTux) October 9, 2026
有網友問模組如何把資料送出去，Mark Karpelès 回覆列出了組件。組件包括 LTE 通訊模組、天線、eSIM，以及一顆接在 Ledger SPI 匯流排上的微控制器。eSIM 是直接焊在電路板上的晶片型 SIM 卡，讓模組可以自己連上行動網路。
Mark Karpelès 稍早曾解釋，SPI 匯流排是 Ledger 把畫面資料傳給螢幕的線路。監聽線上的訊號就能看到螢幕內容，包括設定時顯示的助記詞。他說，這顆微控制器會分析螢幕上顯示給使用者的字母，種子一設定完成就把資料送出。攻擊者之後可以監控受害者的錢包地址，挑最好的時機把資產全部轉走。
Mark Karpelès 在 Tibane Labs 網站整理的研究頁提到，植入物不碰安全元件，也就是硬體錢包裡專門產生並保管私鑰的晶片。所以 Ledger 檢查設備是否為正品的驗證仍會通過。他表示，下一步會逐一分析模組裡的 SIM 卡與微控制器，包括提取韌體，也就是晶片裡實際執行的程式。
慢霧推測偷竊流程
慢霧（SlowMist）合夥人暨首席資訊安全官 23pds 台灣時間 10 月 10 日上午 8 點多發文回應。他寫道：「如果真如 @MagicalTux 所說，在 PCB 上改動，那這是高手…」PCB 是印刷電路板，也就是設備裡承載各個晶片的那塊板子。
23pds 推測，種子先在安全元件裡生成，助記詞接著顯示在螢幕上讓使用者抄寫。惡意模組接在螢幕的資料線上（例如 SPI），把顯示的單字錄下來。錄齊之後，模組透過 LTE 或 eSIM 發送出去，攻擊者拿到助記詞就能轉走資產。
如果真如 .@MagicalTux 所说，在PCB上改动，那这是高手…
流程：
种子在SE里生成−助记词显示给你抄−于是在屏幕显示−恶意模块接在屏幕数据线上（比如SPI）− 把显示的单词录下来 − 录齐后通过LTE/eSIM发走。
攻击者拿到助记词，转走资产。… pic.twitter.com/Kti73LbJhA— 23pds (山哥) (@im23pds) October 10, 2026
23pds 說，安全元件只保護私鑰不被讀取、不被往外送，擋不住有人拍下螢幕。他隨後補充「目前都是猜測」，更多資訊要看 Ledger 官方最終的調查結果。慢霧創辦人 Yu Xian 則表示，在硬體錢包植入 LTE、eSIM 等元件，監聽螢幕顯示的明文再發送出去，「邏輯也通」，團隊拿到樣本後會再驗證。
設備買自日本 Amazon，Ledger 尚未表態
Ledger 10 月 9 日宣布調查東南亞經銷商 CryptoBilis 買家的資金損失。Mark Karpelès 的研究頁寫明，他這台設備是在日本 Amazon 向一名中國第三方賣家購買，包裹從馬來西亞寄出。研究頁也說，這台設備不是向 CryptoBilis 購買，目前沒有證據把兩者連在一起。
截至台灣時間 10 月 10 日上午，Ledger 官方 X 帳號與技術長 Charles Guillemet 都還沒有針對 Mark Karpelès 拆出的模組發表說明，調查仍在繼續。
常見問題
Ledger 間諜植入模組如何偷走助記詞？
據 Mark Karpelès 說明，模組的微控制器接在 Ledger 傳送畫面的 SPI 匯流排上，分析螢幕顯示的字母，助記詞一設定完成就經 LTE 與 eSIM 送出。
Ledger 對間諜植入模組有回應嗎？
截至台灣時間 10 月 10 日上午，Ledger 尚未就 Mark Karpelès 拆出的模組發表說明，僅向 Cointelegraph 表示公司系統未遭入侵、調查仍在進行。
