À chaque fois que je vois quelqu’un vanter : « Nous avons audité, c’est open source sur GitHub, donc c’est absolument sûr », j’ai envie de rire. Le “rapport d’audit”, en clair, c’est un bilan de santé : le jour du contrôle, ton corps va bien, mais ça ne veut pas dire que tu n’auras pas un malaise demain. Quant aux dépôts GitHub, parlons-en : même si le code est très joli, dès que l’on change le contrôle d’un multisig, ou qu’il y a une porte dérobée cachée dans le contrat, tu ne peux tout simplement pas le voir.

Récemment, de nouveaux L1/L2 lancent des incitations pour attirer du TVL, et les anciens utilisateurs se plaignent : « extraction, puis vente ». En réalité, pour un débutant, ce qu’il devrait regarder en premier n’est pas le chiffre de TVL, mais la liste d’adresses du multisig et les permissions. C’est comme louer un logement : le propriétaire dit que l’appartement est refait, mais tu dois vérifier dans le contrat s’il existe une clause du type « hausse de loyer à tout moment ». Qui détient le multisig ? Est-ce l’équipe du projet elle-même, ou la communauté ? S’il n’y a que 3 adresses et que 2 appartiennent au même groupe, alors cette “maison” peut être démontée à tout moment.

De toute façon, ma méthode à moi, c’est : d’abord regarder l’historique des commits sur GitHub, pour voir si quelqu’un a soudain ajouté une fonction de “retrait d’urgence” dans le contrat ; ensuite lire le rapport d’audit, pour vérifier si des « problèmes connus » ont été ignorés ; et enfin aller vérifier le seuil de signatures du multisig et les détenteurs. Ne croyez rien à des histoires de « consensus éternel » : la liquidité, c’est le vrai parent.