Je regarde actuellement le projet « fiable ou non fiable », peu importe à quel point l’histoire est bien racontée, je vais d’abord vérifier GitHub : ce n’est pas le nombre d’étoiles qui compte, mais voir s’il y a des commits réguliers récemment, si c’est la même équipe qui travaille, si dans les issues il y a des bugs signalés par de vrais utilisateurs et si quelqu’un répond. Ensuite, le rapport d’audit ne doit pas être considéré comme un talisman, l’essentiel c’est de voir « qu’est-ce qui a été découvert », « comment c’est corrigé », « y a-t-il une re-vérification », une multitude de risques faibles ne signifie pas sécurité, le plus inquiétant c’est que la logique clé n’est pas couverte.

Les mises à niveau / multi-signatures sont plus réalistes : qui détient le pouvoir, quel est le seuil de signature, y a-t-il un timelock (pour donner du temps de réaction à tout le monde). En gros, quand la blockchain de jeu, avec inflation + studio + spirale de chute du prix du token, finit par s’effondrer, ce n’est souvent pas le code qui est mauvais, mais les gens qui, par panique, changent directement les règles. De toute façon, je préfère être un peu plus lent, plutôt que de confier ma vie à une multi-signature qui peut agir à tout moment.