Definition
Ein Hauptkonto kann API-Wallets genehmigen, die in seinem eigenen Namen oder für eines seiner Unterkonten signieren. Sie dienen allein dem Signieren: Kontodaten müssen mit der echten Adresse des Kontos abgefragt werden, und die Dokumentation nennt das Abfragen der Agent-Adresse einen häufigen Stolperstein, da es ein leeres Ergebnis statt eines Fehlers liefert. Ein Konto darf ein genehmigtes Wallet ohne Namen und bis zu drei mit Namen halten, dazu zwei weitere benannte Agenten je Unterkonto, und eine mit valid_until gesetzte Frist liegt höchstens 180 Tage in der Zukunft.
Was ein solcher Key kann und nicht kann, wurde gemessen statt angenommen. Am 28. September 2026 genehmigte im Mainnet ein Testkonto einen frischen Agenten für eine Stunde und ließ ihn jede Aktion signieren, die Geld bewegt, über 1.000 USDC gegen ein Guthaben von etwa 60, sodass sich nichts bewegen konnte und nur der Grund jeder Antwort zählte. Beim Signierer verweigert: withdraw3, usdSend, spotSend, sendAsset, usdClassTransfer, ein zweites approveAgent und approveBuilderFee, wo das Konto selbst statt dessen einen Guthabenfehler bekam. Angenommen: eine Order platzieren und stornieren. Und eine Bewegung von Mitteln wurde angenommen, vaultTransfer, mit dem 5 USDC, vom Agent-Key signiert, in einen Hyperliquid-Vault gelangten.
Eine Warnung für den Betrieb gehört zur Definition. Nonces werden je Signierer geführt, und der Nonce-Zustand eines API-Wallets kann gelöscht werden, wenn das Wallet durch die Genehmigung eines neuen aus der Registrierung fällt, wenn es abläuft, oder wenn das Konto, das es registriert hat, keine Mittel mehr hat. Die Dokumentation sagt, dass früher signierte Aktionen dann erneut abgespielt werden können, und rät dringend davon ab, eine Agent-Adresse je wiederzuverwenden: es ist eine neue zu erzeugen.
In unserem eigenen Aufbau liegt der Agent-Key auf dem Rechner, auf der Platte unter einem Passwort versiegelt und vom Wächter nur im Speicher gehalten, solange er entsperrt ist. Der Wächter signiert eine geschlossene Liste von Handelsaktionen und nichts weiter, der Key läuft von selbst ab, mit Warnungen 30, 14, 7, 3 und 1 Tage vorher, und lpa agent revoke zieht ihn mit Ihrer Wallet zurück. Keine Datei auf einem Rechner hält einen Dieb auf, der den Key und sein Passwort hat, die Grenze, die hält, ist also das Konto: was es enthält, ist das Meiste, was verloren gehen kann.
Beispiel
Ein Beispiel in runden Zahlen. Ein Konto mit 1.000 USDC genehmigt einen Agent-Key, mit einer Frist von 180 Tagen, der Obergrenze, die Hyperliquid erlaubt. Dieser Key kann Positionen gegen die 1.000 USDC eröffnen und schließen und den Hebel und den Margin-Modus eines Markts setzen; er kann davon keinen Cent auszahlen, nichts an eine andere Adresse senden und nichts zwischen dem Spot- und dem Perpetuals-Guthaben verschieben. Alles, was er erreicht, sind diese 1.000 USDC, und darum ist ein eigenes Konto die Grenze, auf die es ankommt.