Je viens de relire de vieilles notes, et j’ai vu la rétrospective de 2017 sur ce projet “audité” qui a ensuite pris la fuite… À présent, à chaque fois que j’ouvre un nouveau projet sur GitHub, je commence par regarder la fréquence des commits et la qualité des discussions dans les issues, plutôt que de me contenter du nombre d’étoiles. Honnêtement, les rapports d’audit aussi : beaucoup de débutants ne lisent que les quelques lignes de conclusion “aucune vulnérabilité critique n’a été trouvée”, et foncent, mais ce sont les hypothèses dans le corps du texte, la portée de la couverture de tests, et aussi tous ces passages “n/a” qui constituent, en réalité, les véritables histoires d’horreur. Pour l’upgrade des multisignatures, n’en parlons même pas : dans la liste des signataires, il y a quelques KOL bien connus ou alors des adresses anonymes, et la différence est énorme.

Ces derniers temps, les projets de remise en jeu (re-staking) et de sécurité partagée font beaucoup de bruit : on dit que l’empilement des rendements, c’est “des poupées russes”. De mon point de vue, si les actifs sous-jacents ne sont pas transparents, peu importe combien de couches tu ajoutes, ce n’est que du flan, une construction dans le vide. Après avoir tout passé en revue, je me dis surtout que la confiance ne se fabrique pas en criant “nous avons audité” et en empilant des attestations ; elle vient du fait d’être prêt à exposer, pour qu’on les voie, chaque commit sur GitHub et chaque note de bas de page de chaque rapport d’audit.

Ce qui me fait le plus peur de manquer, ce n’est pas vraiment une opportunité x100, mais plutôt le fait que j’aie beau avoir vu les warnings dans le code, et quand même réussir à me convaincre que ce n’est “qu’un événement à faible probabilité”.