Recientemente miré algunos proyectos y me di una vuelta por sus GitHub e informes de auditoría; la verdad, antes yo también era perezoso y pensaba: “con que el código sea open source ya basta”, pero luego descubrí que solo con eso no alcanza.

La clave está en dos cosas: primero, si en el informe de auditoría se menciona algún “riesgo conocido” o “recomendación de reparación” que no se haya corregido, hay que estar atento; segundo, la configuración de las multisig en la que se define quién la administra, cuántas personas deben firmar y cuál es el período de bloqueo. Esto es más importante que las subidas y bajadas del precio.

Lo de los puentes entre cadenas que robaron recientemente, en realidad después revisé los registros on-chain: las direcciones multisig ya habían sido cambiadas a direcciones sospechosas, solo que nadie se dio cuenta. La ronda de cotizaciones anómalas por el oráculo también fue así: esperar más tiempo de confirmación, paradójicamente, permite evitar muchos problemas.

En resumen, ahora ya me acostumbré: antes de que se lance una nueva piscina o una nueva estrategia, reviso primero el historial de commits de GitHub para ver si en lo reciente se cambiaron códigos relacionados con permisos. Va más despacio, pero es mejor que lamentarse después de que te hayan estafado.