Je regarde actuellement le projet « Fiable ou Non Fiable », en supposant d’abord qu’il ne l’est pas, je regarde simplement s’il vaut la peine que je passe encore 10 minutes… En gros, GitHub ressemble plus à une note d’attitude : fréquence de mise à jour normale, les commits ne sont pas une masse de « correction diverse », les modifications clés sont revues par quelqu’un, au moins ce n’est pas du bricolage temporaire. Le rapport d’audit ne doit pas non plus être idéalisé, je vais d’abord regarder la conclusion et la portée, surtout la partie « non auditée » et si les risques connus sont expliqués en langage compréhensible ; puis je vérifie si le registre des corrections correspond à la version, sinon c’est juste un vieux rapport mis en valeur.

Je suis plus intéressé par la mise à jour de la multi-signature : si les signataires sont dispersés, si le seuil est suffisant, s’il y a un timelock (ce genre de délai pour donner du temps de réaction), et si les permissions d’urgence peuvent être modifiées d’un clic. Récemment, après des incidents sur les ponts cross-chain et des caprices d’oracles, tout le monde attend « confirmation », ce n’est pas de la lâcheté, c’est une leçon apprise : ne pas laisser une donnée anormale ou une multi-signature décider de la vie ou de la mort de vos actifs. Moi-même, j’ai une règle : si je peux désengager le levier, je le fais d’abord, et si je participe, j’essaie d’utiliser une posture qui permet de sortir rapidement.