Je viens encore de parcourir le GitHub d’un porteur de projet : en y entrant, ma première réaction est toujours de regarder la fréquence des commits et la date du rapport d’audit. Honnêtement, à force de lire tous ces termes, ça finit par être pareil : l’essentiel, c’est de savoir combien de personnes détiennent vraiment l’adresse qui contrôle le multi-signature lors de la mise à niveau, et si les mises à jour de code récentes servent à corriger des vulnérabilités urgentes. En clair, beaucoup de cas d’échec viennent soit d’un seuil de multi-signature trop bas, soit carrément d’une signature unique : puis si le portefeuille d’une seule personne fuit, tout s’effondre.

Ces derniers temps, le système de tags des outils de données on-chain a aussi été largement disséqué : des “étiquettes de sécurité DeFi”, des “certifications d’audit”… En réalité, l’équipe peut souvent elle-même les acheter ou “booster” des cotes sur quelques sites. De toute façon, j’ai pris l’habitude de, après avoir réglé des alertes de transaction et des plafonds, de vérifier encore une fois si, dans les “owners” du multi-signature à l’étape d’upgrade, il y a des adresses d’institutions connues ou la participation d’un auditeur tiers. Si tout est anonyme, je préfère d’abord attendre.

Franchement, à chaque fois que je fixe les plafonds, les quelques minutes qui suivent sont les plus pénibles : j’ai l’impression que je vais rater le coche. Et au final, plusieurs fois de suite, j’ai justement réussi à éviter la grosse baisse. Bon, tant pis… on y va doucement.