Acabo de revisar otro proyecto en GitHub del equipo, y al entrar la primera reacción también es mirar la frecuencia de los commits y la fecha de los informes de auditoría. La verdad, después de leer tantas veces esa pila de términos de auditoría, al final es lo mismo: lo importante es ver cuántas personas realmente controlan las direcciones de los multisig que se actualizan, y si las actualizaciones de código más recientes están enfocadas en corregir vulnerabilidades urgentes. En pocas palabras, muchos casos de fallo son porque el umbral del multisig se configuró demasiado bajo, o directamente se usa un single-sig, y entonces con que se filtre la cartera de una sola persona ya se cae todo.

Últimamente también han desmenuzado bastante el sistema de etiquetas de esas herramientas de datos on-chain: lo de las etiquetas de seguridad DeFi, auditorías y certificaciones, etc. En realidad, el propio equipo puede comprarlas o mejorar unas cuantas calificaciones de sitios. Total, ahora mi costumbre es: después de configurar alertas de transacciones y límites, vuelvo a echar un vistazo a si en los owners del multisig que se va a actualizar hay direcciones de instituciones conocidas o participación de terceros auditores. Si todo son direcciones anónimas, mejor esperar.

La verdad, cada vez que configuro el límite, durante esos minutos es cuando más incómodo me siento, con la sensación de que voy a quedarme fuera del movimiento. Y resulta que varias veces justo logré evitar una gran caída. Bueno, ya está: voy despacio.