Je viens de voir quelqu’un demander : « GitHub a plein d’abonnés, il y a aussi des rapports d’audit, et la mise à niveau du multisig est même publique : est-ce que ça suffit pour y croire ? ». En fait, je ne suis pas non plus un expert technique, alors je vais juste dire ce que j’en pense. Sur GitHub, beaucoup d’abonnés ne servent parfois à rien : je préfère plutôt regarder les historiques de commits, chercher des traces de maintenance sur la durée, du genre… enfin, un peu comme… feuilleter un vieux registre, voir s’il y a des altérations, s’il manque des pages. Pour les rapports d’audit, je regarde d’abord le scope et le calendrier : si c’est juste un passage en revue sans expliquer clairement les points de risque, alors c’est essentiellement faire semblant. Les réglages de permissions lors de la mise à niveau du multisig sont encore plus importants : un seuil élevé ne veut pas forcément dire sécurité ; il faut surtout voir qui détient les clés, et s’il y a une période de verrouillage. Récemment, la polémique autour des royalties NFT, au fond, c’est aussi une question de confiance : les créateurs doivent garantir leurs revenus, mais le marché surveille aussi la liquidité et l’extraction de valeur. En tout cas, je ne crois pas trop aux promesses faites en se frappant la poitrine : regarder, confirmer petit à petit, c’est mieux que n’importe quel discours.