Ledger Atom: навіщо Ledger створює пристрій з ОС Android

Ledger роками пояснює, чому приватні ключі слід зберігати окремо від смартфона. Тепер компанія пропонує пристрій з ОС Android, у якому звичайні застосунки працюватимуть поруч з апаратним гаманцем: Ledger Atom представили 15 жовтня 2026 року на конференції Op3n у Парижі. Зовні Atom нагадує телефон, а зберігання ключів і підтвердження операцій захищає окреме апаратне середовище. Ми вивчили технічний документ Ledger і сторінку Atom, щоб пояснити, як влаштована ця система, навіщо компанії такий продукт і кому варто дочекатися його виходу.

Що таке Ledger Atom: характеристики та дата виходу

Ledger називає Atom signer, тобто пристроєм для підписування операцій. Він підключається до мереж 4G і 5G лише для обміну даними та не підтримує стільникових дзвінків, SMS і викликів екстрених служб, зокрема 112, навіть з активною eSIM. Слота для фізичної SIM-картки також немає, а голосовий і відеозв’язок доступний лише у сторонніх застосунках через інтернет.

Повсякденні завдання в Atom виконує Android на процесорі Qualcomm: Ledger використовує збірку з посиленим захистом на базі AOSP — відкритого проєкту Android. За ключі та підписування відповідає Ledger OS на окремому захищеному чипі Secure Element ST54M, сертифікованому за Common Criteria на рівні EAL6+. Ця сертифікація стосується чипа; оцінювання всього Atom за програмою CSPN компанія планує окремо.

Основні характеристики, які наводить Ledger:

• Корпус: 250 г, 78 × 164 × 9 мм.
• Екран: AMOLED із діагоналлю близько 6,8 дюйма та частотою оновлення 60 Гц.
• Основна камера: 50 Мп.
• Акумулятор: 4000 мА·год.
• Підключення: 4G/5G через eSIM, Wi-Fi, Bluetooth, NFC та USB-C.
• Розблокування: сканер відбитків пальців для звичайного режиму.
• Запчастини: Ledger заявляє про їхню доступність протягом семи років після продажу останнього пристрою.
• Privacy Switch: апаратний перемикач, який розриває коло живлення камер і мікрофона.

Ledger відкрила резервування Founders Edition із депозитом, який за умовами компанії повертають у разі скасування резервування до відправлення. Почати постачання Atom компанія планує влітку 2027 року, однак строк може змінитися. Перед відправленням компанія має завершити необхідні процедури: у США — авторизацію обладнання за правилами FCC, у ЄС — оцінювання відповідності для маркування CE. Резервування доступне на офіційному сайті Ledger; перед його оформленням перевірте доставку в Україну, регіональну версію пристрою та сумісність з eSIM вашого оператора.

Як працює Secure Mode

Оскільки Ledger Atom має доступ до інтернету й запускає сторонні застосунки, його захищене середовище повинне витримувати атаки на Android. Для цього Ledger апаратно розділяє два середовища, зберігаючи принцип роботи своїх гаманців: ключі та підтвердження операцій залишаються під контролем Ledger OS. У технічному документі цю архітектуру описано з урахуванням сценарію, коли зловмисник повністю контролює Android.

Два незалежні середовища в одному корпусі

Звичайний режим, Standard Mode, працює на чипі Qualcomm і відповідає за застосунки, камеру, мережеві підключення та керування живленням. За роботу захищеного режиму, Secure Mode, відповідають три окремі компоненти: Secure Element ST54M із Ledger OS, мікроконтролер STM32U5, який формує зображення під її керуванням, і FPGA — програмована мікросхема, що передає керування дисплеєм та сенсорною панеллю одному з двох середовищ.

Seed (секретне значення, з якого створюються ключі гаманця), приватні ключі та PIN Ledger OS зберігаються в її Secure Element; за описом Ledger, процесор Qualcomm не має до них апаратного доступу. Кожне середовище розблоковують окремо: для Android використовують графічний ключ, пароль або відбиток пальця, а для Secure Mode — окремий PIN Ledger OS, недоступний Android. Для захисту облікових даних і сховища Android передбачено ще один Secure Element, тому в Atom два захищені чипи з різними завданнями.

Середовища обмінюються даними через спеціальний фізичний інтерфейс із захищеним каналом зв’язку. Android може надіслати до Ledger OS запит, наприклад на підписання транзакції, проте не має змоги спостерігати за роботою Secure Mode, підмінювати вміст його екрана чи підтверджувати операції замість користувача.

Як FPGA і Secure Bar захищають підтвердження

У звичайному смартфоні за зображення на екрані та обробку дотиків відповідають головний процесор і програмне забезпечення. Отримавши контроль над системою, зловмисник може показати одну адресу отримувача, а на підпис надіслати транзакцію з іншою. В апаратного гаманця для перевірки є власний екран, яким підключений комп’ютер або телефон не керує; у пристроях Ledger він перебуває під контролем Ledger OS на Secure Element. Що гаманець може показати перед підписанням і як перевірити зміст запиту, пояснюємо в матеріалі про Clear Signing і Blind Signing.

В Atom між процесором Qualcomm і дисплеєм розміщена FPGA. У Standard Mode вона передає на екран зображення від Android, а сигнали сенсорної панелі спрямовує до Qualcomm. Коли сумісний застосунок запитує підтвердження транзакції чи дозволу для AI-агента, Ledger OS перемикає FPGA, апаратно від’єднуючи Android від дисплея й сенсорної панелі. Відтоді зображення формує мікроконтролер під керуванням Ledger OS, а сигнали сенсорної панелі надходять лише до захищеного середовища; камери, мікрофон та інші датчики автоматично вимикаються. За описом Ledger, навіть отримавши повний контроль над Android і root-доступ, зловмисник не бачитиме вмісту захищеного екрана й не зможе перехопити PIN або зімітувати натискання.

Водночас шкідливий застосунок може показати підроблене вікно підтвердження, поки пристрій залишається у Standard Mode. Щоб користувач міг розрізнити режими, Ledger передбачила Secure Bar — смугу у верхній частині екрана, якою керує лише Ledger OS через FPGA. Android не може виводити зображення в цій ділянці, тому навіть поряд із підробленим вікном смуга показуватиме справжній режим пристрою.

Захист від фізичного втручання

Secure Element Ledger OS, мікроконтролер і FPGA розміщені в окремій захищеній зоні плати з активними датчиками втручання. Доріжки, якими сигнал зображення надходить від Qualcomm до FPGA, проходять у внутрішніх шарах плати й виходять на поверхню лише всередині цієї зони, що ускладнює непомітне підключення до них. Ще один контур захисту реагує на відкриття корпусу, зокрема для ремонту; скинути його після спрацювання можна лише під контролем Ledger. Компанія також заявляє про виявлення зняття дисплея.

Хоча Ledger Atom розрахований на самостійну роботу, для перевірки справжності за допомогою Genuine Check знадобиться інший пристрій. Secure Mode показуватиме динамічний код атестації, який потрібно перевірити через спеціальний застосунок Ledger на другому пристрої поруч. За описом виробника, така перевірка має підтверджувати справжність основних захищених чипів та їхніх прошивок.

Навіщо Ledger пристрій на Android

Ledger розраховує, що Atom використовуватимуть і для роботи з криптовалютою, і для підтвердження дій AI-агентів та входу в сторонні сервіси. У цих сценаріях він дає змогу запускати застосунок і підтверджувати його запити на одному пристрої.

Застосунки й апаратний підпис на одному пристрої

Для роботи з Nano Gen5, Flex і Stax потрібен комп’ютер або телефон, на якому застосунок готує транзакцію й надсилає гаманцю запит на її підписання. Ledger OS не покладається на достовірність зображення на цьому пристрої: деталі операції ви перевіряєте на екрані самого гаманця й лише після цього підтверджуєте підписання. Така схема дає змогу ізолювати ключі, але потребує двох пристроїв та їхнього з’єднання.

Ledger Wallet працюватиме на самому Ledger Atom, де ви зможете купувати й обмінювати криптовалюту, користуватися стейкінгом і переглядати дані транзакцій. Коли застосунок надсилатиме запит, який потребує захищеного підтвердження, пристрій переходитиме в Secure Mode, щоб ви могли перевірити деталі операції та погодити її. Якщо ви щодня користуєтеся децентралізованими фінансовими сервісами (DeFi) з телефона, окремий гаманець для підтвердження цих операцій підключати не доведеться. У технічному документі Ledger пояснює це як зміну формату пристрою зі збереженням моделі безпеки.

Контроль дій AI-агентів

Ledger також розвиває апаратне підтвердження дій AI-агентів, які можуть від вашого імені стежити за ринком, готувати платежі та пропонувати угоди. Якщо запит на погодження показує звичайний застосунок, шкідливе програмне забезпечення може підмінити його вміст. В Atom Ledger Agent Intent має спрямовувати такі запити до Secure Mode, де ви переглядатимете запропоновані операції або дозволи агента й підтверджуватимете їх натисканням на захищеному екрані. Чи потрібно окремо погоджувати кожну операцію, залежить від заданих вами правил.

На момент виходу Atom Ledger планує забезпечити інтеграцію з OpenClaw — платформою для запуску власних AI-агентів. Налаштування платформи ми розбирали в окремому гайді з OpenClaw. Щоб користуватися Agent Intent, чекати на Atom не потрібно: сервіс вже доступний для Nano Gen5, Flex і Stax, а відкритий набір інструментів Ledger Agent Stack — для розробників із липня 2026 року.

Платформа для сторонніх сервісів

З Atom Ledger розширює можливості своєї платформи: сторонні сервіси зможуть використовувати захищений екран і криптографічні функції пристрою у власних застосунках, додаючи апаратне підтвердження там, де цього потребує операція.

Solana Mobile обрала Ledger своїм першим апаратним партнером. На кожному Atom планують встановити застосунок Seeker із доступом до Solana dApp Store, у якому на момент анонсу було понад 1500 застосунків. Підписування й підтвердження в Seeker мають відбуватися через Secure Mode. Kraken поки вивчає можливість такої інтеграції для клієнтів біржі. Для інших розробників Ledger готує Atom SDK — набір інструментів для додавання апаратного підтвердження до Android-застосунків.

Серед анонсованих функцій поза криптовалютою — шифроване листування, яке компанія планує додати пізніше. Повідомлення мають шифруватися й розшифровуватися всередині Secure Element, а через сторонні месенджери передаватимуться лише зашифровані дані; читати їх інший власник Atom зможе у Secure Mode. Серед інших заявлених можливостей — захищене зберігання ключів входу (passkeys) і багатофакторна автентифікація. Proof of You має давати криптографічне підтвердження того, що людина погодила конкретну дію на справжньому пристрої Ledger.

Обмеження захисту та відкриті питання

Доступ до інтернету збільшує поверхню атаки — кількість компонентів і способів, через які зловмисник може вплинути на пристрій. Ledger визнає це й у технічному документі описує наслідки отримання контролю над Android: нападник зможе читати дані, доступні у звичайному режимі, змінювати запити до Ledger OS, вводити користувача в оману до переходу в Secure Mode та пропонувати підготовлені ним транзакції.

Застосунок у Ledger OS має самостійно розібрати отриманий запит і показати параметри операції на захищеному екрані, проте користувач усе одно повинен перевірити їх перед підписанням. Ізоляція ключів не завадить погодити небезпечну операцію, якщо ви не перевірите її зміст. Як звіряти параметри запиту й дозволи на списання токенів, ми розбираємо в матеріалі про перевірку транзакцій у MetaMask та обмеження симуляції.

До виходу Ledger Atom також залишаються питання щодо його підтримки, практичної цінності та перевірки безпеки:

• Аудиторія й партнерство із Solana Mobile. Компанія вже має власний Seeker із захищеним сховищем ключів Seed Vault. Наскільки різнитимуться сценарії використання двох пристроїв, стане зрозуміліше після запуску Atom.
• Доцільність доплати. Альтернативою Atom залишається окремий Android-смартфон для криптозастосунків у парі з апаратним гаманцем. Перед купівлею варто порівняти зручність цих двох варіантів і їхню загальну вартість. Відмінності між окремими гаманцями ми зібрали в порівнянні моделей Ledger.
• Оновлення Android. Перед купівлею варто перевірити остаточні строки оновлень операційної системи й виправлень безпеки, а також дату, від якої починається відлік цих строків. Заявлені сім років доступності запчастин не визначають строку програмної підтримки.
• Постквантова криптографія. Позначення «quantum ready» стосується готовності чипа ST54M до постквантових алгоритмів, розрахованих на протидію атакам квантових комп’ютерів, і сумісності з новими стандартами NIST — американського Національного інституту стандартів і технологій. Коли й для яких операцій ці алгоритми використовуватимуться в Atom, компанія не уточнює.
• Незалежна перевірка всього пристрою. Ledger планує оцінювання Atom за програмою CSPN французького агентства кібербезпеки ANSSI та публікацію результатів зовнішніх аудитів невдовзі після запуску. До появи цих матеріалів оцінювати захист усієї системи доводиться за описом виробника. Наявна сертифікація EAL6+ стосується чипа, а не всієї архітектури Atom.

Кому варто дочекатися Ledger Atom

Ledger Atom варто розглянути, якщо ви:

• вже користуєтеся окремим телефоном для криптозастосунків і хочете поєднати їх з апаратним підписуванням на одному пристрої;
• активно працюєте в екосистемі Solana та користуєтеся децентралізованими застосунками з телефона;
• плануєте доручати AI-агентам фінансові операції та підтверджувати через Ledger ті дії, які потребують вашого дозволу;
• часто працюєте з DeFi, а постійне підключення окремого гаманця до телефона через Bluetooth створює незручності.

Водночас купівля Atom навряд чи виправдана, якщо ви:

• шукаєте заміну основному телефону, оскільки Atom не підтримує стільникових дзвінків, SMS і викликів екстрених служб;
• зберігаєте криптовалюту довгостроково й робите лише кілька транзакцій на рік: для цього достатньо окремого апаратного гаманця без власного доступу до інтернету.

Для сум, втрата яких буде для вас критичною, варто окремо розглянути мультипідпис із ключами на кількох пристроях різних виробників. Це дає змогу розподілити контроль над операціями; сама заміна одного гаманця на Atom такого розподілу не забезпечує.

Якщо Atom вас зацікавив, перед резервуванням прочитайте умови повернення депозиту та остаточної оплати. Для частини країн Ledger розраховує суму в місцевій валюті на основі ціни в євро, тому вона може змінитися до моменту доплати. Оцінити практичні переваги Atom допоможуть незалежні аудити й тести серійних пристроїв, коли вони стануть доступними. Якщо ж апаратне підтвердження на сенсорному екрані потрібне вже зараз, Ledger Flex і Ledger Stax працюють на Ledger OS у парі з вашим телефоном.

Підсумок

Ledger Atom поєднує Android-застосунки й апаратний гаманець в одному корпусі. Під час підтвердження Ledger OS має повністю керувати екраном та сенсорною панеллю, а Secure Bar — показувати активний режим. Для щоденної роботи з DeFi та AI-агентами це може бути зручніше, ніж постійне підключення окремого гаманця. Перш ніж купувати Atom, дочекайтеся перевірки серійних пристроїв і зіставте їхні можливості зі своїми завданнями; для довгострокового зберігання криптовалюти з нечастими переказами окремий апаратний гаманець залишається достатнім рішенням.