Je me suis fixé une petite règle : face à un nouveau projet, ne pas se précipiter, d'abord jeter un œil à GitHub et aux rapports d'audit, sans chercher à comprendre tout le code, mais principalement vérifier s'il est « maintenu par des humains » — si les commits sont réguliers, s'il y a des issues ouvertes, si le rythme de correction de bugs ressemble à du travail réel. Pour l'audit, c'est pareil, en gros je ne regarde que deux points : y a-t-il un périmètre ou une version clairement définie, et comment les problèmes sont traités, pas des trucs du genre « c'est sécurisé parce que ça a été audité » en une phrase.

Et pour la mise à jour de la multi-signature, je ne m'y intéressais pas vraiment avant, mais après avoir été piégé plusieurs fois par l'interaction entre ponts et portefeuilles, j'ai appris à faire attention : avant une mise à jour importante, j'attends que l'exécution de la multi-signature soit enregistrée, que la communauté ait fait un récapitulatif, puis je passe à l'action, même si ça prend du retard, pour éviter de faire faillite en cours de route. Récemment, cette chaîne principale doit faire une mise à jour, tout le monde dans le groupe se demande s'il y aura migration, moi je préfère d'abord bien calculer la route : qui détient le contrôle des mises à jour, qui publie des infos régulièrement, ça me rassure un peu plus. Voilà pour l’instant.