Ce qu'est un portefeuille d'agent
Sur Hyperliquid, un compte peut approuver une seconde clé, appelée agent ou portefeuille d'API, pour trader en son nom. Le compte signe l'approbation une fois ; la clé d'agent signe ensuite des ordres pour le compte sans détenir ses fonds.
Une approbation porte une échéance : 180 jours au plus, le maximum que Hyperliquid autorise. Le compte peut la révoquer à tout moment.
Comment nous l'avons mesuré
Le 28 septembre 2026, sur le mainnet Hyperliquid, avec un compte de test contenant environ 60 USDC, le compte a approuvé une clé d'agent neuve pour une heure, comme le fait Locker Vault, et l'agent a signé chaque action qui déplace de l'argent, pour 1 000 USDC.
Avec 1 000 USDC demandés à un compte qui en détient 60, rien ne pouvait bouger : seule la raison de chaque refus comptait. Le compte a ensuite signé les mêmes demandes. Là où l'agent a reçu une autre réponse que le compte, il avait été arrêté pour ce qu'il est, pas pour le montant.
Ce que Hyperliquid a répondu
| Action | Signé par la clé d'agent |
|---|---|
| Passer un ordre, puis l'annuler | accepté |
Retirer (withdraw3) | refusé |
Envoyer de l'USDC ou un jeton (usdSend, spotSend, sendAsset) | refusé |
Passer du spot aux perpétuels (usdClassTransfer) | refusé |
| Approuver un autre agent, ou des frais de builder | refusé |
Déposer le compte dans un vault Hyperliquid (vaultTransfer) | accepté |
Les refus se lisent tous de la même façon : Hyperliquid a appliqué l'action à l'adresse propre de l'agent, qui ne contient rien. Le dépôt dans un vault a ensuite été tenté pour 5 USDC, vers HLP, le vault de Hyperliquid elle-même, une destination qui reste celle du compte : il est passé.
Le seul mouvement de fonds qu'elle peut signer
Un dépôt dans un vault sort de l'argent de la marge libre du compte vers un vault tenu par quelqu'un d'autre. Un voleur qui détient une clé d'agent pourrait déposer votre compte dans un vault qu'il tient, puis le perdre en tradant contre lui-même.
lpa ne signe jamais cette action : son gardien signe une liste fermée d'actions de trading. Mais un voleur qui a le fichier de clé et votre mot de passe n'a pas besoin de lpa.
Ce que lpa ajoute
- La clé d'agent est scellée sur le disque sous votre mot de passe, et gardée en mémoire par le gardien seulement pendant que vous le déverrouillez.
- Le gardien signe des ordres, des annulations, des réglages de levier et de marge, et rien d'autre.
- Chaque ouverture est vérifiée face à votre politique locale et face au mandat signé sur votre téléphone.
- La clé expire d'elle-même, avec des avertissements 30, 14, 7, 3 et 1 jours avant.
La limite qui tient
Aucun fichier sur votre ordinateur n'arrête un voleur qui a à la fois la clé et le mot de passe. Ce qui tient encore alors : la clé ne peut pas retirer, elle expire, et un compte réservé à l'agent seul ne contient que ce que vous acceptez de risquer.
Pour y mettre fin, lpa agent revoke retire aussitôt la clé, avec votre téléphone. lpa mandate revoke n'a pas besoin du téléphone et arrête toute ouverture par lpa jusqu'à ce qu'un nouveau mandat soit signé.