O que é uma carteira de agente
Na Hyperliquid, uma conta pode aprovar uma segunda chave, chamada de agente ou carteira de API, para operar em nome dela. A conta assina a aprovação uma vez; a chave de agente passa então a assinar ordens pela conta, sem guardar o dinheiro dela.
Uma aprovação traz uma data de fim: 180 dias no máximo, o prazo mais longo que a Hyperliquid permite. A conta pode revogá-la a qualquer momento.
Como medimos
Em 28 de setembro de 2026, na mainnet da Hyperliquid, com uma conta de teste de cerca de 60 USDC, a conta aprovou um agente novo por uma hora, como o Locker Vault faz, e o agente assinou cada ação que move dinheiro, no valor de 1.000 USDC.
Com 1.000 USDC pedidos de uma conta que tinha 60, nada podia sair do lugar: só importava o motivo de cada recusa. Depois a conta assinou os mesmos pedidos. Onde o agente recebeu uma resposta diferente da conta, ele foi barrado pelo que é, não pelo valor.
O que a Hyperliquid respondeu
| Ação | Assinado com a chave de agente |
|---|---|
| Enviar uma ordem e depois cancelá-la | aceito |
Sacar (withdraw3) | recusado |
Enviar USDC ou um token (usdSend, spotSend, sendAsset) | recusado |
Mover entre spot e perpétuos (usdClassTransfer) | recusado |
| Aprovar outro agente, ou uma taxa de builder | recusado |
Depositar a conta em um vault da Hyperliquid (vaultTransfer) | aceito |
As recusas dizem todas a mesma coisa: a Hyperliquid aplicou a ação ao endereço do próprio agente, que não guarda nada. O depósito em um vault foi então tentado com 5 USDC, rumo ao HLP, o vault da própria Hyperliquid, um destino que continua sendo da conta: passou.
O único movimento de dinheiro que ela assina
Um depósito em um vault tira dinheiro da margem livre da conta e o põe em um vault tocado por outra pessoa. Um ladrão com uma chave de agente poderia depositar a sua conta em um vault dele e depois perdê-la operando contra si mesmo.
O lpa nunca assina essa ação: o guardião dele assina uma lista fechada de ações de trading. Mas um ladrão com o arquivo da chave e a sua senha não precisa do lpa.
O que o lpa acrescenta
- A chave de agente fica selada em disco com a sua senha, e o guardião só a mantém na memória enquanto você a deixa destrancada.
- O guardião assina ordens, cancelamentos, alavancagem e ajustes de margem, e mais nada.
- Toda abertura é conferida contra a sua política local e contra o mandato assinado no seu celular.
- A chave expira sozinha, com avisos 30, 14, 7, 3 e 1 dia antes.
O limite que se sustenta
Nenhum arquivo no seu computador detém um ladrão que tenha a chave e a senha. O que ainda se sustenta: a chave não pode sacar, ela expira, e uma conta usada só para o agente guarda apenas o que você está disposto a arriscar.
Para encerrar, lpa agent revoke aposenta a chave na hora, com o seu celular. lpa mandate revoke não precisa de celular e interrompe toda abertura pelo lpa até um novo mandato ser assinado.