Honnêtement, avoir beaucoup d’étoiles sur GitHub ne veut pas dire grand-chose. J’ai vu toute une série de rapports d’audit v2 très beaux sur le papier, mais pour la mise à niveau d’un multisig, il n’y avait que deux ou trois personnes qui le contrôlaient. En réalité, ce qu’il faut regarder, c’est s’il y a un audit par un tiers, s’il y a des verrous temporels, et si la modification des paramètres du multisig nécessite un vote et l’approbation de tout le monde. Récemment, quand les portefeuilles matériels étaient en rupture de stock, les liens de phishing ont afflué les uns après les autres : dans ce contexte, je trouve au contraire que la sensibilisation à la sécurité compte plus que d’acheter un nouveau wallet. L’habitude de conserver des captures d’écran, comme une blague qu’on mentionne sans trop s’étendre, mais ça vaut mieux que de se faire vraiment avoir. Dans les rapports d’audit, les vulnérabilités classées « critical » et « medium » : la plupart, ce sont des techniques connues. Même en lisant une version « compréhensible », on peut en voir les ficelles. Ne les prenez pas comme une parole d’évangile. Bref, les débutants devraient d’abord surveiller les membres du multisig et les droits de mise à niveau, pour éviter que l’équipe du projet modifie le contrat en douce en brandissant un drapeau « audit approuvé ».