Últimamente estoy revisando algunos pequeños proyectos de privacidad/almacenamiento, y cuanto más miro, más pienso que los novatos no deben apresurarse a investigar esa “narrativa”, primero hay que mirar la credibilidad. Para mí, GitHub es como un termómetro de “si están trabajando o no”: si las actualizaciones son continuas, si los cambios giran en torno a los problemas centrales, si en los issues hay respuestas serias, incluso si discuten, eso es mejor que un silencio total… pero tampoco hay que confiar ciegamente en la cantidad de commits, hacer commits en exceso no es difícil.

Antes quería entender a fondo los informes de auditoría palabra por palabra, pero luego ajusté mi objetivo: primero buscar conclusiones y riesgos conocidos, ver si los problemas graves han sido realmente corregidos y quién confirmó la corrección; después revisar el alcance, muchos informes en realidad solo auditan una parte, en pocas palabras, no hay que tomarlos como “garantía total”. También echo un vistazo a las actualizaciones de multi-firma: cuántas firmas, quiénes, si hay timelock, al menos que no sea una actualización con un clic que pueda arruinar a los usuarios.

Recientemente también hay quienes se quejan de que las herramientas de datos en cadena y los sistemas de etiquetas están atrasados y pueden inducir a error… así que ahora prefiero tomarlos como referencia, no como jueces. De todos modos, si va más despacio, las cosas ocultas pueden crecer lentamente, así que por ahora así dejamos.