En parcourant les documents de protocole pendant mon trajet, j'ai remarqué que beaucoup de gens demandent « GitHub actif = sécurité ? » Je tends maintenant à le considérer sous un autre angle : vérifier si les commits sont continus, s'il ne s'agit pas simplement d'une multitude de robots modifiant le readme ; si la logique clé a été testée, si quelqu'un a sérieusement signalé un bug dans les issues, comment les développeurs répondent… ces éléments sont plus fiables que le simple nombre d’étoiles.

Les rapports d’audit ne doivent pas non plus être considérés comme un passe-droit, je regarde généralement d’abord la conclusion : « corrigé / non corrigé / acceptation du risque », puis j’examine la portée : quels contrats ont été audités, si c’est seulement une version spécifique, si la mise à jour est toujours valable. Ce qui est souvent négligé, c’est la mise à jour de la multi-signature : qui peut prendre la décision, combien de clés sont nécessaires, y a-t-il un timelock (au moins pour vous donner un délai de réaction). En gros, pouvoir faire une mise à jour signifie que le risque lié à « l’humain » est toujours présent.

Récemment, dès qu’une nouvelle sur le resserrement ou l’assouplissement de la conformité est sortie, les attentes concernant les dépôts et retraits deviennent très sensibles… À ce moment-là, je suis encore plus attentif à savoir si les membres de la multi-signature sont dispersés, s’il existe un historique transparent des modifications, sinon, aussi beau que soit la chaîne, si l’émotion hors chaîne devient tendue, tout le monde se bouscule, ça peut devenir très désagréable. Quoi qu’il en soit, je préfère prendre mon temps, échanger la tranquillité d’esprit contre une confiance compréhensible.