Ces derniers temps, les portefeuilles matériels sont tous en rupture de stock, les liens de phishing pullulent, ce qui me donne encore plus envie de regarder la « crédibilité fondamentale du projet ». Ma méthode simple pour les débutants : d’abord regarder GitHub, pas le nombre d’étoiles, mais voir si quelqu’un soumet vraiment des commits, corrige des bugs, répond aux issues récemment ; puis consulter le rapport d’audit, ne pas se concentrer uniquement sur les mots « validé / audité », mais vérifier s’il y a une liste claire des risques, s’il y a une re-vérification, quels problèmes ont été acceptés comme « connus mais non corrigés ». Enfin, regarder la multilignature pour la mise à jour : qui peut signer, combien de personnes sont nécessaires, y a-t-il un timelock (ce qui vous donne du temps pour réagir). En gros, même si vous ne comprenez pas tout, il suffit de pouvoir juger « s’il y a quelqu’un qui supervise, comment il supervise, et qui porte la responsabilité en cas de problème ». De toute façon, si je vois qu’il n’y a qu’une seule clé pour la mise à jour, je l’évite directement.