認証

すべての取引エンドポイントは、2 段階のセッションプロトコルで取得した sessionId を必要とします。セッションはウォレットアドレス（0xABC）に紐付けられ、そのウォレット本体または登録された API キー（0xXYZ）で認証できます。セッションは 1 時間で失効し、明示的に取り消すこともできます。

セッションハンドシェイク

1. POST /session/start を { “user”: “0xABC…” } で呼び出すと、サーバーが単発の challenge を返します。
2. keccak256(challenge) を計算し、eth_sign で 65 バイトの生署名を作成します。
3. POST /session/complete に { challengeId, signature } を渡すと、サーバーが検証して sessionId を返します。
4. 以後 /session/* 系の呼び出しすべてで sessionId を使用します。失効や 401 が返ったらステップ 1 からやり直します。