Je pense que beaucoup de débutants se contentent de regarder le logo d'audit pour la « crédibilité », ce qui n'est pas suffisant. Commencez par vérifier les commits sur GitHub : y a-t-il une maintenance à long terme, des issues auxquelles quelqu’un répond, des modifications clés qui apparaissent soudainement sous forme de gros commits… Je compare aussi l'adresse du contrat et le tag du dépôt, pour éviter des situations embarrassantes comme « sur la chaîne c’est la version v1.2, mais le code que vous regardez est la v1.0 ».

Ne vous limitez pas à la page de conclusion du rapport d'audit, cherchez plus bas : la portée couvre-t-elle la mise à niveau du contrat/routeur/permissions, les problèmes trouvés sont-ils « corrigés » ou « acceptés comme risque », y a-t-il un commit correspondant à la correction ? Il faut aussi vérifier la mise à niveau du multi-signature, l’essentiel n’est pas de faire joli avec quelques signatures, mais de savoir qui sont les signataires, si on peut changer de signataire, s'il y a un timelock, si les permissions sont trop larges, en gros, si on peut changer les règles à tout moment.

Récemment, la modularité et la couche DA sont très en vogue, les développeurs s’amusent, les utilisateurs sont complètement perdus… Moi, je passe simplement par cette méthode empirique pour faire une première vérification, au moins pour ne pas se laisser emporter par la « narration ». Ne demandez pas les coulisses, demandez à reproduire.