Baru-baru ini aku melihat beberapa proyek, lalu iseng mengusut GitHub mereka dan laporan audit—jujur saja, dulu aku juga malas. Aku dulu merasa “kalau kodenya open source, itu sudah cukup”, tapi belakangan aku sadar: sekadar tahu ada atau tidaknya laporan audit itu tidak cukup.

Yang penting ada dua hal: pertama, apakah di laporan audit ada “risiko yang sudah diketahui” atau “saran perbaikan” yang ternyata tidak pernah ditindaklanjuti—ini wajib diwaspadai; kedua, konfigurasi multisig saat upgrade: siapa yang mengelola, berapa orang yang perlu menandatangani, dan berapa lama periode lock. Ini bahkan lebih penting daripada naik-turunnya harga koin.

Kasus pencurian jembatan lintas-chain yang sempat ramai belakangan ini, sebenarnya setelah ditelusuri transaksi di chain, alamat multisignya sudah diubah menjadi alamat yang mencurigakan, hanya saja tidak ada yang memperhatikan.

Gelombang anomali penawaran pada oracle juga begitu: kalau waktu konfirmasinya lebih lama, justru bisa menghindari banyak jebakan.

Intinya sekarang aku sudah membentuk kebiasaan. Sebelum ada peluncuran pool baru atau strategi baru, aku selalu cek dulu catatan commit di GitHub, dan lihat apakah ada perubahan kode yang terkait izin terbaru. Pelan-pelan memang lebih lama, tapi tetap lebih baik daripada menyesal setelah “dikuras”.