Aujourd’hui, parlons de choses concrètes. Beaucoup de personnes me demandent : pour savoir si un projet est sûr, le fait qu’il y ait des étoiles sur GitHub, des rapports d’audit affichés et des adresses de multisig bien en évidence, est-ce que ça le rend forcément fiable ? En réalité, les **signaux** ne se trouvent pas dans ces éléments de surface.

Pour le code sur GitHub, je regarde d’abord le **rythme des commits** et la **gestion des issues**. Si le projet ne se met à jour que quelques mois plus tard, même avec beaucoup d’étoiles, cela peut n’être que des “zombies” ; à l’inverse, si ça change tous les jours mais que l’équipe ne répond jamais aux questions de la communauté, alors la qualité du code est incertaine. Pour les rapports d’audit, disons-le franchement : il faut regarder **l’ampleur de l’audit** et **le périmètre couvert**. Si l’audit ne porte que sur la logique sans vérifier les droits d’upgrade, alors des portes dérobées peuvent être dissimulées dans le portefeuille multisig. Aujourd’hui, les portefeuilles matériels sont en rupture de stock, et tout le monde est plus conscient des risques, mais ne vous contentez pas de surveiller l’équipement : les **signaux** les plus inquiétants sont ceux liés aux multisig qui autorisent les upgrades dans les contrats.

Les adresses de multisig, les participants et les seuils de vote : tout cela se retrouve et se vérifie on-chain. Ne vous contentez pas de regarder “s’il y en a”, regardez “comment c’est utilisé”. Un multisig personne ne surveille, c’est presque pareil qu’un single-sig. De mon côté, j’ai l’habitude de passer d’abord au crible la conception de la gouvernance, puis je décide si je touche ou non au projet. La vraie sécurité se cache dans ces détails, pas dans la courbe du prix, ni dans ce qu’un gourou appelle à acheter.