Saat membaca dokumen protokol di perjalanan ke kantor, saya menemukan banyak orang bertanya "Aktivitas GitHub = aman?" Saya sekarang lebih cenderung memandangnya dari satu sisi: apakah commit berlangsung terus-menerus, apakah itu sekumpulan robot yang mengubah readme; apakah logika utama sudah diuji, apakah ada yang sungguh-sungguh mengajukan bug di issue, bagaimana pengembang merespons… hal-hal ini lebih dapat diandalkan daripada sekadar "jumlah bintang".

Laporan audit juga jangan dianggap sebagai jaminan kebal hukuman, saya biasanya pertama-tama melihat di bagian kesimpulan "Sudah diperbaiki/Belum diperbaiki/Menerima risiko", lalu melihat cakupannya: audit dilakukan terhadap kontrak mana, apakah hanya terhadap versi tertentu, apakah setelah upgrade masih termasuk. Yang paling sering terabaikan adalah upgrade multi-tanda tangan: siapa yang bisa memutuskan, berapa banyak kunci yang diperlukan, apakah ada timelock (setidaknya memberi waktu reaksi). Singkatnya, jika bisa diupgrade, itu berarti risiko "manusia" tetap ada.

Baru-baru ini, begitu berita tentang pelonggaran/pengencangan regulasi keluar, ekspektasi masuk-keluar dana menjadi sangat sensitif… Saat itu saya malah lebih peduli apakah anggota multi-tanda tangan tersebar, apakah ada catatan perubahan yang transparan, kalau tidak, meskipun di chain terlihat bagus, suasana di luar chain yang tegang akan membuat semua orang panik dan berdesakan. Bagaimanapun, saya sendiri lebih suka lambat, menggunakan tingkat kepercayaan yang bisa dipahami untuk mendapatkan ketenangan.