Recientemente, otra vez un montón de nuevos L1/L2 están incentivando para atraer TVL, en el grupo los veteranos mientras empujan, también se quejan de "minar, vender", pero a mí me preocupa más: quién realmente decide en este proyecto, quién carga con las culpas si algo sale mal.

Los novatos quieren ver la "confiabilidad", pero creo que primero no hay que fijarse solo en las estrellas de GitHub. Lo importante es: ¿el contrato clave es actualizable? Si lo es, ¿quién tiene el control de la actualización? ¿Cuántas llaves múltiples hay, cuál es la barrera de firma, las firmas son de las mismas personas con diferentes alias? Tampoco solo hay que mirar que el informe de auditoría diga "aprobado", hay que revisar la página de clasificación de riesgos, especialmente en aspectos como "permisos centralizados", "reentradas/llamadas de retorno", "pausa de emergencia", muchos no son vulnerabilidades, sino "elecciones de diseño", en otras palabras, si en el futuro se puede cambiar la regla con un clic.

Yo mismo tengo la costumbre de: primero revisar las direcciones de admin, proxy, timelock, multisig, seguirles la pista, si se puede verificar en la cadena, mejor; si no, ni modo, ganar menos y dormir tranquilo.