Últimamente, los proyectos simplemente comparten un enlace de GitHub + informe de auditoría y dicen "es muy seguro", pero en realidad me pongo más nervioso… Para los novatos que quieren verificar la credibilidad, creo que primero no deben fijarse en lo bonito que es el código, sino en “quién puede modificarlo”: ¿la actualización es con firma múltiple, cuántas llaves hay, cuál es la barrera de entrada, los firmantes están dispersos (no todos del mismo equipo), hay timelock, al menos te da tiempo para reaccionar? La auditoría tampoco debe juzgarse solo por el logo en la portada, pasa unas páginas para ver si los problemas de alto riesgo realmente se corrigieron, si están “confirmados” o “no estamos de acuerdo”, y si la versión de la auditoría coincide con lo que se desplegó ahora. Lo mismo en GitHub, si los cambios importantes tienen huellas de revisión, si los commits no son de repente un montón de cambios grandes… Por supuesto, todo esto solo puede reducir la probabilidad; en días en que el mercado sube y baja junto al índice del dólar, prefiero tratar las posiciones como “cosas que pueden ser actualizadas y apagadas en cualquier momento”, eso es lo que hago por ahora.