Acabo de traducir un informe de GitHub y auditoría de un proyecto, y de paso también revisé su sistema de firma múltiple para actualizaciones, y cuanto más miraba, más parecía un espejo: las actualizaciones de código son bastante frecuentes pero principalmente pequeñas correcciones, la auditoría también está bien hecha, pero la mitad de los firmantes en la firma múltiple no los conozco… eso me hace dudar un poco. Últimamente, las escenas de juegos en cadena como “inflación + estudio + espiral de precios de la moneda” que colapsan vuelven a estar en tendencia, y siento que muchas veces no es que el código esté mal, sino que los permisos y las incentivos son demasiado casuales.

Yo mismo tengo un truco casero para la “confianza en la versión para principiantes”: en GitHub, verificar si hay mantenimiento a largo plazo, no solo en momentos previos a la emisión de tokens; en auditoría, no solo mirar si pasa, sino también si hay elementos no reparados claramente y si hay revisión adicional; en las actualizaciones de firma múltiple, centrarse en si el umbral es suficiente, si los firmantes son independientes, y si se puede cambiar a alguien temporalmente. En resumen, cuanto más concentrados estén los permisos y más ambiguas sean las explicaciones, más lo trato como un activo de alto riesgo por ahora.