Récemment en regardant les mises à jour de projets, j'ai constaté que beaucoup de débutants (y compris moi auparavant) pensent que c'est sécurisé dès qu'ils voient « auditée » ou « open source sur GitHub », mais en réalité il faut analyser en détail. Sur GitHub, je vais d'abord jeter un œil à trois choses : la dernière contribution significative a-t-elle été faite par une personne, y a-t-il une discussion ou une PR concernant les modifications clés du contrat, et la version publiée, le tag et le déploiement sur la chaîne correspondent-ils… sinon l'open source pourrait aussi être juste « affiché ».

Le rapport d'audit ne doit pas seulement être regardé pour le logo en couverture, en tournant la page des conclusions : quelles sont les contrats couverts, y a-t-il une remarque sur « mise à jour de l'upgrade proxy/multisig non auditée », ou si les problèmes restants sont « corrigés » ou « acceptés comme risque ». La mise à jour du multisig est encore plus directe : combien de clés, qui sont-elles, y a-t-il un timelock et une suspension d'urgence, et si les permissions sont si grandes qu'elles peuvent directement modifier la logique, je considère cela comme un risque élevé.

Récemment, tout le monde parle de la baisse des taux, de l'indice du dollar, et les actifs risqués montent et descendent en même temps… plus cette émotion de va-et-vient est forte, plus j'ai envie de clarifier « qui peut modifier le code ». La prochaine fois, je prévois de faire un petit schéma des permissions courantes pour l'upgrade/multisig afin de faciliter la comparaison. En général, vous regardez d'abord quelle partie pour juger de la crédibilité ?