Je viens de finir un audit… Franchement, plus je le lis, plus je me dis que la « crédibilité », ça ressemble aux devis d’un artisan pour les travaux de rénovation. Tu ne peux pas te contenter de regarder ce qu’il écrit : il faut aussi voir ce qu’il ne dit pas. Par exemple, s’il a mentionné une période de verrouillage pour les autorisations liées à la mise à niveau d’un multi-signature, ou si, dans l’historique de commits sur GitHub, une série de « correctifs d’urgence » a soudainement fait son apparition.

Si un débutant veut comprendre, ma méthode à moi, c’est : d’abord regarder si le contrat a un mécanisme de verrouillage temporel, puis vérifier si l’adresse du multi-signature est une « clé froide » ou un schéma de signatures « en rotation ». En clair : est-ce que l’argent et les personnes sont séparés ? Ensuite, je vais fouiller sur GitHub leurs issues des derniers mois : est-ce qu’ils ont été attaqués et critiqués à cause d’une vulnérabilité précise. Comme pour une note d’hygiène d’un restaurant : juste regarder la note finale ne suffit pas, il faut voir s’il y a eu des plaintes.

En ce moment, je vois souvent des gens se plaindre de la part MEV dans les revenus des mineurs : certains pensent que le caractère opaque du séquenceur, c’est une « manipulation en coulisses ». Mais c’est assez simple à comprendre : c’est comme quand tu fais la queue pour acheter un milk-shake, puis quelqu’un passe devant grâce à ses relations, et en plus tu dois payer un supplément, baptisé « frais de service prioritaire ». Pour les investisseurs particuliers, cette impression n’est effectivement pas agréable. En revanche, ma règle personnelle, c’est : si je ne comprends pas bien un protocole, je le mets de côté d’abord, sans me précipiter.