Definizione
Un conto principale può approvare wallet di API per firmare per conto proprio o per uno qualunque dei suoi sottoconti. Servono solo a firmare: i dati del conto vanno chiesti con l'indirizzo vero del conto, e la documentazione chiama il chiedere l'indirizzo dell'agente una trappola comune, dato che restituisce un risultato vuoto invece di un errore. Un conto può tenere un wallet approvato senza nome e fino a tre con nome, più due agenti con nome in più per ogni sottoconto, e una scadenza impostata con valid_until sta al massimo 180 giorni nel futuro.
Che cosa una chiave così può e non può fare è stato misurato invece che supposto. Il 28 settembre 2026, sul mainnet, un conto di prova ha approvato una chiave di agente nuova per un'ora e le ha fatto firmare ogni azione che muove denaro per 1.000 USDC contro un saldo di circa 60, così niente poteva muoversi e contava solo il motivo di ogni risposta. Rifiutati sul firmatario: withdraw3, usdSend, spotSend, sendAsset, usdClassTransfer, un secondo approveAgent e approveBuilderFee, dove il conto stesso incontrava invece un errore di saldo. Accettati: inserire e annullare un ordine. E un movimento di fondi è stato accettato, vaultTransfer, con cui 5 USDC firmati dalla chiave di agente sono arrivati a un vault Hyperliquid.
Un avvertimento pratico va con la definizione. I nonce sono seguiti per firmatario, e lo stato dei nonce di un wallet di API può essere cancellato quando il wallet esce dal registro per l'approvazione di uno nuovo, quando scade, o quando il conto che lo ha registrato non ha più fondi. La documentazione dice che allora azioni firmate prima possono essere rigiocate, e consiglia con forza di non riusare mai un indirizzo di agente: va generato uno nuovo.
Nel nostro impianto la chiave di agente vive sul computer, sigillata sul disco sotto una password e tenuta in memoria dal guardiano solo mentre è sbloccata. Il guardiano firma una lista chiusa di azioni di trading e nient'altro, la chiave scade da sé con avvisi 30, 14, 7, 3 e 1 giorni prima, e lpa agent revoke la ritira con il tuo wallet. Nessun file su un computer ferma un ladro che tiene sia la chiave sia la sua password, quindi il limite che regge è il conto: quello che contiene è il massimo che si può perdere.
Esempio
Un esempio, in cifre tonde. Un conto con 1.000 USDC approva una chiave di agente, con una scadenza a 180 giorni, il tetto che Hyperliquid permette. Quella chiave può aprire e chiudere posizioni contro i 1.000 USDC e impostare la leva e la modalità di margine di un mercato; non può prelevarne un centesimo, mandarlo a un altro indirizzo né spostarlo fra il saldo spot e quello dei perpetui. Tutto quello che raggiunge sono quei 1.000 USDC, ed è per questo che un conto dedicato è il limite che conta.