Ledger Atom: зачем Ledger создаёт устройство с ОС Android

Ledger годами объясняет, почему приватные ключи нужно хранить отдельно от смартфона. Теперь компания предлагает устройство с ОС Android, в котором обычные приложения будут работать рядом с аппаратным кошельком: Ledger Atom представили 15 октября 2026 года на конференции Op3n в Париже. Внешне Atom напоминает телефон, а хранение ключей и подтверждение операций защищает отдельная аппаратная среда. Мы изучили технический документ Ledger и страницу Atom, чтобы объяснить, как устроена эта система, зачем компании такой продукт и кому стоит дождаться его выхода.

Что такое Ledger Atom: характеристики и дата выхода

Ledger называет Atom signer, то есть устройством для подписания операций. Он подключается к сетям 4G и 5G только для передачи данных и не поддерживает звонки по сотовой сети, SMS и вызовы экстренных служб, в том числе 112, даже с активной eSIM. Слота для физической SIM-карты тоже нет, а голосовая и видеосвязь доступны только в сторонних приложениях через интернет.

Повседневные задачи в Atom выполняет Android на процессоре Qualcomm: Ledger использует сборку с усиленной защитой на базе AOSP — открытого проекта Android. За ключи и подписание отвечает Ledger OS на отдельном защищённом чипе Secure Element ST54M, сертифицированном по Common Criteria на уровне EAL6+. Эта сертификация относится к чипу; оценку всего устройства Atom по программе CSPN компания планирует отдельно.

Основные характеристики, которые приводит Ledger:

• Корпус: 250 г, 78 × 164 × 9 мм.
• Экран: AMOLED с диагональю около 6,8 дюйма и частотой обновления 60 Гц.
• Основная камера: 50 Мп.
• Аккумулятор: 4000 мА·ч.
• Подключение: 4G/5G через eSIM, Wi-Fi, Bluetooth, NFC и USB-C.
• Разблокировка: сканер отпечатков пальцев для обычного режима.
• Запчасти: Ledger заявляет об их доступности в течение семи лет после продажи последнего устройства.
• Privacy Switch: аппаратный переключатель, который разрывает цепь питания камер и микрофона.

Ledger открыла резервирование Founders Edition с депозитом, который по условиям компании возвращают при отмене резервирования до отправки. Начать поставки Atom компания планирует летом 2027 года, однако срок может измениться. Перед отправкой Ledger должна завершить необходимые процедуры: в США — получить разрешение на оборудование по правилам FCC, в ЕС — пройти оценку соответствия для маркировки CE. Резервирование доступно на официальном сайте Ledger; перед его оформлением проверьте доставку в Украину, региональную версию устройства и совместимость с eSIM Вашего оператора.

Как работает Secure Mode

Поскольку Ledger Atom имеет доступ к интернету и запускает сторонние приложения, его защищённая среда должна выдерживать атаки на Android. Для этого Ledger аппаратно разделяет две среды, сохраняя принцип работы своих кошельков: ключи и подтверждение операций остаются под контролем Ledger OS. В техническом документе эта архитектура описана с учётом сценария, при котором злоумышленник полностью контролирует Android.

Две независимые среды в одном корпусе

Обычный режим, Standard Mode, работает на чипе Qualcomm и отвечает за приложения, камеру, сетевые подключения и управление питанием. За работу защищённого режима, Secure Mode, отвечают три отдельных компонента: Secure Element ST54M с Ledger OS, микроконтроллер STM32U5, который формирует изображение под её управлением, и FPGA — программируемая микросхема, передающая управление дисплеем и сенсорной панелью одной из двух сред.

Seed (секретное значение, из которого создаются ключи кошелька), приватные ключи и PIN Ledger OS хранятся в её Secure Element; по описанию Ledger, процессор Qualcomm не имеет к ним аппаратного доступа. Каждую среду разблокируют отдельно: для Android используют графический ключ, пароль или отпечаток пальца, а для Secure Mode — отдельный PIN Ledger OS, недоступный Android. Для защиты учётных данных и хранилища Android предусмотрен ещё один Secure Element, поэтому в Atom два защищённых чипа с разными задачами.

Среды обмениваются данными через специальный физический интерфейс с защищённым каналом связи. Android может отправить в Ledger OS запрос, например на подписание транзакции, однако не может наблюдать за работой Secure Mode, подменять содержимое его экрана или подтверждать операции вместо пользователя.

Как FPGA и Secure Bar защищают подтверждение операций

В обычном смартфоне за изображение на экране и обработку касаний отвечают главный процессор и программное обеспечение. Получив контроль над системой, злоумышленник может показать один адрес получателя, а на подпись отправить транзакцию с другим. У аппаратного кошелька для проверки есть собственный экран, которым подключённый компьютер или телефон не управляет; в устройствах Ledger он находится под контролем Ledger OS на Secure Element. Что кошелёк может показать перед подписанием и как проверить содержание запроса, объясняем в материале о Clear Signing и Blind Signing.

В Atom между процессором Qualcomm и дисплеем расположена FPGA. В Standard Mode она передаёт на экран изображение от Android, а сигналы сенсорной панели направляет к Qualcomm. Когда совместимое приложение запрашивает подтверждение транзакции или разрешения для AI-агента, Ledger OS переключает FPGA, аппаратно отключая Android от дисплея и сенсорной панели. После этого изображение формирует микроконтроллер под управлением Ledger OS, а сигналы сенсорной панели поступают только в защищённую среду; камеры, микрофон и другие датчики автоматически выключаются. По описанию Ledger, даже получив полный контроль над Android и root-доступ, злоумышленник не сможет увидеть содержимое защищённого экрана, перехватить PIN или имитировать нажатия.

При этом вредоносное приложение может показать поддельное окно подтверждения, пока устройство остаётся в Standard Mode. Чтобы пользователь мог различать режимы, Ledger предусмотрела Secure Bar — полосу в верхней части экрана, которой управляет только Ledger OS через FPGA. Android не может выводить изображение в этой области, поэтому даже рядом с поддельным окном полоса будет показывать настоящий режим устройства.

Защита от физического вмешательства

Secure Element Ledger OS, микроконтроллер и FPGA расположены в отдельной защищённой зоне платы с активными датчиками вмешательства. Дорожки, по которым сигнал изображения поступает от Qualcomm к FPGA, проходят во внутренних слоях платы и выходят на поверхность только внутри этой зоны, что затрудняет незаметное подключение к ним. Ещё один контур защиты реагирует на вскрытие корпуса, в том числе для ремонта; после его срабатывания сбросить защиту можно только под контролем Ledger. Компания также заявляет об обнаружении снятия дисплея.

Хотя Ledger Atom рассчитан на самостоятельную работу, для проверки подлинности с помощью Genuine Check понадобится другое устройство. Secure Mode будет показывать динамический код аттестации, который нужно проверить через специальное приложение Ledger на втором устройстве рядом. По описанию производителя, такая проверка должна подтверждать подлинность основных защищённых чипов и их прошивок.

Зачем Ledger устройство с ОС Android

Ledger рассчитывает, что Atom будут использовать и для работы с криптовалютой, и для подтверждения действий AI-агентов и входа в сторонние сервисы. Во всех этих случаях он позволяет запускать приложение и подтверждать его запросы на одном устройстве.

Приложения и аппаратное подписание на одном устройстве

Для работы с Nano Gen5, Flex и Stax нужен компьютер или телефон, на котором приложение готовит транзакцию и отправляет кошельку запрос на её подписание. Ledger OS не полагается на достоверность изображения на этом устройстве: детали операции Вы проверяете на экране самого кошелька и только после этого подтверждаете подписание. Такая схема позволяет изолировать ключи, но требует двух устройств и соединения между ними.

Ledger Wallet будет работать на самом Ledger Atom, где Вы сможете покупать и обменивать криптовалюту, пользоваться стейкингом и просматривать данные транзакций. Когда приложение отправит запрос, требующий защищённого подтверждения, устройство перейдёт в Secure Mode, чтобы Вы могли проверить детали операции и одобрить её. Если Вы ежедневно пользуетесь децентрализованными финансовыми сервисами (DeFi) с телефона, подключать отдельный кошелёк для подтверждения этих операций не придётся. В техническом документе Ledger описывает это как изменение формата устройства с сохранением модели безопасности.

Контроль действий AI-агентов

Ledger также развивает аппаратное подтверждение действий AI-агентов, которые могут от Вашего имени следить за рынком, готовить платежи и предлагать сделки. Если запрос на одобрение показывает обычное приложение, вредоносное программное обеспечение может подменить его содержимое. В Atom Ledger Agent Intent должен направлять такие запросы в Secure Mode, где Вы будете просматривать предложенные операции или разрешения для агента и подтверждать их нажатием на защищённом экране. Нужно ли отдельно одобрять каждую операцию, зависит от заданных Вами правил.

К выходу Atom Ledger планирует обеспечить интеграцию с OpenClaw — платформой для запуска собственных AI-агентов. Настройку платформы мы разбирали в отдельном гайде по OpenClaw. Чтобы пользоваться Agent Intent, ждать Atom не нужно: сервис уже доступен для Nano Gen5, Flex и Stax, а открытый набор инструментов Ledger Agent Stack — для разработчиков с июля 2026 года.

Платформа для сторонних сервисов

Atom расширяет возможности платформы Ledger: сторонние сервисы смогут использовать защищённый экран и криптографические функции устройства в собственных приложениях, добавляя аппаратное подтверждение там, где этого требует операция.

Solana Mobile выбрала Ledger своим первым аппаратным партнёром. На каждом Atom планируют установить приложение Seeker с доступом к Solana dApp Store, в котором на момент анонса было более 1500 приложений. Подписание и подтверждение в Seeker должны происходить через Secure Mode. Kraken пока изучает возможность такой интеграции для клиентов биржи. Для других разработчиков Ledger готовит Atom SDK — набор инструментов для добавления аппаратного подтверждения в Android-приложения.

Среди анонсированных функций, не связанных с криптовалютой, — шифрованная переписка, которую компания планирует добавить позже. Сообщения должны шифроваться и расшифровываться внутри Secure Element, а через сторонние мессенджеры будут передаваться только зашифрованные данные; читать их другой владелец Atom сможет в Secure Mode. Среди других заявленных возможностей — защищённое хранение ключей входа (passkeys) и многофакторная аутентификация. Proof of You должен давать криптографическое подтверждение того, что человек одобрил конкретное действие на подлинном устройстве Ledger.

Ограничения защиты и открытые вопросы

Доступ к интернету увеличивает поверхность атаки — количество компонентов и способов, через которые злоумышленник может воздействовать на устройство. Ledger признаёт это и в техническом документе описывает последствия получения контроля над Android: атакующий сможет читать данные, доступные в обычном режиме, изменять запросы к Ledger OS, вводить пользователя в заблуждение до перехода в Secure Mode и предлагать подготовленные им транзакции.

Приложение в Ledger OS должно самостоятельно разобрать полученный запрос и показать параметры операции на защищённом экране, однако пользователь всё равно должен проверить их перед подписанием. Изоляция ключей не помешает одобрить опасную операцию, если Вы не проверите её содержание. Как сверять параметры запроса и разрешения на списание токенов, мы разбираем в материале о проверке транзакций в MetaMask и ограничениях симуляции.

До выхода Ledger Atom также остаются вопросы о его поддержке, практической ценности и проверке безопасности:

• Аудитория и партнёрство с Solana Mobile. У компании уже есть собственный Seeker с защищённым хранилищем ключей Seed Vault. Насколько будут различаться сценарии использования двух устройств, станет понятнее после запуска Atom.
• Стоимость и удобство. Альтернативой Atom остаётся отдельный Android-смартфон для криптоприложений в паре с аппаратным кошельком. Перед покупкой стоит сравнить удобство этих двух вариантов и их общую стоимость. Различия между отдельными кошельками мы собрали в сравнении моделей Ledger.
• Обновления Android. Перед покупкой стоит проверить окончательные сроки обновлений операционной системы и исправлений безопасности, а также дату, с которой начинается их отсчёт. Заявленные семь лет доступности запчастей не определяют срок программной поддержки.
• Постквантовая криптография. Обозначение «quantum ready» относится к готовности чипа ST54M к постквантовым алгоритмам, рассчитанным на противодействие атакам квантовых компьютеров, и совместимости с новыми стандартами NIST — американского Национального института стандартов и технологий. Когда и для каких операций эти алгоритмы будут использоваться в Atom, компания не уточняет.
• Независимая проверка всего устройства. Ledger планирует оценку Atom по программе CSPN французского агентства кибербезопасности ANSSI и публикацию результатов внешних аудитов вскоре после запуска. До появления этих материалов оценивать защиту всей системы приходится по описанию производителя. Сертификация EAL6+ относится к чипу, а не ко всей архитектуре Atom.

Кому стоит дождаться Ledger Atom

Ledger Atom стоит рассмотреть, если Вы:

• уже пользуетесь отдельным телефоном для криптоприложений и хотите совместить их с аппаратным подписанием на одном устройстве;
• активно работаете в экосистеме Solana и пользуетесь децентрализованными приложениями с телефона;
• планируете поручать AI-агентам финансовые операции и подтверждать через Ledger те действия, которые требуют Вашего разрешения;
• часто работаете с DeFi, а постоянное подключение отдельного кошелька к телефону по Bluetooth создаёт неудобства.

При этом покупка Atom вряд ли оправданна, если Вы:

• ищете замену основному телефону, поскольку Atom не поддерживает звонки по сотовой сети, SMS и вызовы экстренных служб;
• храните криптовалюту долгосрочно и проводите лишь несколько транзакций в год: для этого достаточно отдельного аппаратного кошелька без собственного доступа к интернету.

Для сумм, потеря которых будет для Вас критичной, стоит отдельно рассмотреть мультиподпись с ключами на нескольких устройствах разных производителей. Это позволяет распределить контроль над операциями; сама замена одного кошелька на Atom такого распределения не обеспечивает.

Если Atom Вас заинтересовал, перед резервированием прочитайте условия возврата депозита и окончательной оплаты. Для части стран Ledger рассчитывает сумму в местной валюте на основе цены в евро, поэтому она может измениться к моменту доплаты. Оценить практические преимущества Atom помогут независимые аудиты и тесты серийных устройств, когда они станут доступны. Если же аппаратное подтверждение на сенсорном экране нужно уже сейчас, Ledger Flex и Ledger Stax работают на Ledger OS в паре с Вашим телефоном.

Итоги

Ledger Atom объединяет Android-приложения и аппаратный кошелёк в одном корпусе. Во время подтверждения Ledger OS должна полностью управлять экраном и сенсорной панелью, а Secure Bar — показывать активный режим. Для ежедневной работы с DeFi и AI-агентами это может быть удобнее, чем постоянное подключение отдельного кошелька. Прежде чем покупать Atom, дождитесь проверки серийных устройств и сопоставьте их возможности со своими задачами; для долгосрочного хранения криптовалюты с редкими переводами отдельный аппаратный кошелёк остаётся достаточным решением.