Belakangan melihat pembaruan proyek, menemukan banyak pemula (termasuk saya dulu) begitu mendengar “telah diaudit” “open source GitHub” langsung merasa aman, sebenarnya harus dilihat lebih detail. Di GitHub saya akan fokus pada tiga hal: apakah commit terakhir yang berarti dilakukan oleh manusia, apakah ada diskusi/PR terkait perubahan kontrak penting, dan apakah tag rilis serta deployment di chain sesuai… kalau tidak, open source juga bisa hanya sekadar “dipajang”.

Laporan audit juga jangan cuma lihat logo di sampul, buka halaman kesimpulan: cakupan kontrak apa saja yang termasuk, apakah ada catatan “upgrade proxy/multisig yang belum diaudit”, masalah yang tersisa sudah “diperbaiki” atau “diterima risikonya”. Upgrade multisig lebih langsung: berapa kunci, siapa saja, apakah ada timelock dan penghentian darurat, hak akses yang besar sampai bisa langsung mengubah logika saya anggap berisiko tinggi.

Belakangan semua orang membahas ekspektasi penurunan suku bunga, indeks dolar, aset risiko kadang naik bareng kadang turun bareng… semakin emosi ini berayun, saya malah lebih ingin melihat dengan jelas “siapa yang bisa ubah kode”. Minggu depan saya berencana buat gambar kecil tentang hak akses upgrade/multisig yang umum agar mudah dibandingkan, kalian biasanya lihat yang mana dulu untuk menilai kepercayaan?