Setiap kali saya melihat orang memuji, “Kami sudah diaudit, open source di GitHub, pasti aman,” saya ingin tertawa. Laporan audit itu pada dasarnya hanyalah seperti hasil pemeriksaan kesehatan; saat tubuh Anda terlihat baik saat diperiksa, itu tidak berarti besok Anda tidak bisa tiba-tiba meninggal secara mendadak. Repositori GitHub pun lebih tidak usah dibahas—sekalian kodenya ditulis seindah apa pun, begitu kontrol lewat multisig di-upgrade atau diganti, atau ada backdoor yang disembunyikan di dalam kontrak, Anda tidak akan bisa melihatnya.

Belakangan ini, L1/L2 baru mulai memberi insentif untuk menarik TVL, sementara pengguna lama mengeluh tentang “menggali untuk dijual dan mengumpulkan untuk diperdagangkan.” Padahal, yang seharusnya dilihat pemula bukanlah angka TVL, melainkan daftar alamat multisig untuk upgrade dan daftar izin. Ibarat menyewa rumah: tuan tanah bilang rumahnya sudah direnovasi, tapi Anda tetap harus mengecek apakah di kontrak ada klausul “sewaktu-waktu bisa menaikkan harga sewa.” Siapa pemegang multisig itu? Pihak tim proyek sendiri, atau komunitas? Kalau hanya ada 3 alamat dan 2 di antaranya berasal dari tim yang sama, rumah ini kapan saja bisa dibongkar.

Pokoknya kebiasaan saya begini: pertama lihat riwayat commit di GitHub, apakah ada seseorang yang tiba-tiba menambahkan fungsi “penarikan darurat” ke dalam kontrak; lalu baca laporan audit, apakah ada “masalah yang diketahui” yang diabaikan; terakhir cek ambang tanda tangan multisig dan siapa pemegangnya. Jangan percaya omongan “selalu ada konsensus”—likuiditas adalah ayah yang sebenarnya.