Je viens de voir quelqu’un demander quoi regarder sur le GitHub d’un projet, et comment déterminer si un rapport d’audit est une “tromperie” ou juste du blabla. En réalité, c’est assez simple : sans rapport d’audit pour une multisig d’upgrade avec des mécanismes centralisés et une multisignature contrôlée, le tout revient quasiment à un faux audit.

En clair : avant de lire un rapport d’audit, je regarde d’abord toujours le seuil de la multisig et si les participants sont publics et transparents. Si les droits de mise à niveau sont détenus en 1/1 ou par deux adresses seulement, c’est juste un autre style pour spolier. Sur GitHub, il faut vérifier la date du dernier commit et la fréquence des mises à jour : si c’est une eau stagnante, évitez d’y toucher.

Ces derniers temps, il y a eu une pluie d’annonces autour des incitations aux testsnets et des attentes de points, et tout le monde se demande si le lancement sur le mainnet s’accompagnera d’une émission de tokens. Pour ma part, plus que ça, je me préoccupe surtout de savoir s’il y a, dans la multisig d’upgrade, des utilisateurs ordinaires ou des organisations du secteur. S’il y en a, au moins il y aura quelqu’un pour alerter quand ça tourne.

Le “ce que j’ai le plus peur de rater”, ce n’est pas une opportunité : c’est le fait de partir en fuite sans que personne ne m’ait prévenu.