J’ai failli me faire avoir… et plus j’y pense, plus j’ai peur.

Un projet avait l’air bien animé, avec pas mal d’étoiles sur GitHub, et ils ont publié une pile de rapports d’audit, avec des noms comme Trail of Bits, Certik, etc. Je pensais déposer un petit montant pour jouer un peu… mais par curiosité mal placée, j’ai fini par parcourir leurs adresses de multi-signature pour les upgrades. Et là, surprise : les droits de l’owner étaient attribués à une multi-signature 2/3. Parmi les trois adresses, deux appartiennent en réalité à la même personne, mais via deux portefeuilles différents.

À quoi ça change, me direz-vous, par rapport à une simple signature ? En réalisant la chose, je me suis dit que beaucoup de gens ne regardent les rapports d’audit que sous l’angle “il y en a” ou “il n’y en a pas”. Mais le vrai point, c’est : dans le scope de l’audit, y a-t-il la présence de la logique d’upgrade ? La répartition des signataires du multi-sig est-elle vraiment diversifiée ?

Les étoiles sur GitHub, ça aussi peut faire du bruit, mais le code n’a pas été mis à jour depuis six mois : les commits ne font que modifier des README.

Pour les grosses transferts, les gens y voient souvent “de l’argent malin”, mais en réalité ça peut simplement être quelqu’un qui change de portefeuille. Ne vous mettez pas dans la mise en scène vous-même. Bref, maintenant je préfère retourner plusieurs pages de données on-chain plutôt que de croire aveuglément ces quatre mots : “audit approuvé”.