À 3 h 30 du matin, je feuillette et refais le tour d’un tout nouvel audit de protocole, et j’ai l’impression d’un TOC de personne qui choisirait des tomates sur un marché — même avec les quatre gros caractères « audit approuvé », je n’arrive pas à m’empêcher d’aller fouiller sur GitHub les mises à jour des branches.

Ces derniers temps, le groupe recommence à partager des captures d’écran du genre « un certain stablecoin pourrait perdre son arrimage ». En réalité, à chaque fois que cette panique monte, je fais l’inverse : je vais plutôt consulter les documents d’audit de réserves et les enregistrements on-chain de la mise à niveau du multisig. En clair : est-ce que l’équipe accepte de rendre l’adresse du multisig publique, est-ce que les signataires sont réellement en train de faire le travail, et est-ce que dans le rapport d’audit il y a ce genre de formulation « nous ne l’avons pas testé dans des conditions extrêmes ». Ces éléments valent bien plus que les discussions du groupe.

Bref, j’ai pris une habitude : quand je vois un projet, je regarde d’abord l’heure de la dernière commit sur GitHub, puis je vérifie la configuration du multisig lors des upgrades. Si structurellement on voit partout « rustine temporaire », « à optimiser », alors même si l’histoire est romantique, je dois quand même me poser des questions. Pour l’instant, je continue comme ça : je retourne au code.