Revisé notas viejas de antes y vi una recopilación sobre aquel proyecto de 2017 que “había sido auditado” y luego terminó huyendo… ahora, cada vez que abro un proyecto nuevo de GitHub, primero reviso la frecuencia de los commits y la calidad de los debates en issues, en lugar de fijarme solo en el número de estrellas. La verdad, los reportes de auditoría también: muchos recién llegados se van con las pocas líneas de conclusiones tipo “no se encontraron vulnerabilidades críticas”, pero en el cuerpo del documento las condiciones y supuestos, la cobertura de las pruebas y todo ese “n/a” son, en realidad, las auténticas historias de terror.

Lo de actualizar un multisig, ni hablar: en la lista de firmantes, si son unos KOL conocidos o direcciones anónimas, la diferencia es enorme.

Últimamente, esos proyectos que hablan de “re-staking” y de compartir seguridad están muy enredados por el tema de que los rendimientos se suman como “muñecas rusas”. Yo pienso que, si los activos subyacentes en sí no son transparentes, ponerles muchas capas no es más que construir castillos en el aire. Después de darles una vuelta, básicamente la confianza no se fabrica con solo repetir “nos auditaron”; se trata de estar dispuesto a mostrarle a la gente cada commit en GitHub y cada nota al pie en el informe de auditoría, tal cual.

Lo que más me da miedo no es perderme alguna oportunidad de cien veces, sino que yo mismo, viendo claramente los warning del código, me convenza a la fuerza de que eso es “un evento de baja probabilidad”.