Hampir saja salah langkah, makin kupikir makin merinding…

Ada proyek yang kelihatannya cukup ramai, GitHub bintangnya juga lumayan banyak, laporan audit dipajang bertumpuk—ada Trail of Bits, Certik, dan sejenisnya. Awalnya aku berniat nyelipin sedikit uang buat coba-coba, tapi karena tangan iseng aku malah menelusuri alamat upgrade multisignature mereka—ternyata parah: permission owner adalah multisig 2/3, tetapi dari tiga alamat itu, dua di antaranya ternyata milik orang yang sama, hanya beda wallet.

Baru sadar, banyak orang membaca laporan audit cuma melihat “ada” atau “tidak ada”, padahal yang harus dilihat adalah apakah di audit scope ada “logika upgrade”. Distribusi signer multisig benar-benar tersebar atau tidak. Bintang GitHub juga bisa di-“刷”, tapi kodenya setengah tahun tidak ada pembaruan, commit isinya cuma mengubah README.

Transfer nominal besar dianggap sebagai uang pintar, padahal sebenarnya mungkin mereka cuma ganti wallet. Jadi jangan menambah drama sendiri. Pokoknya sekarang aku lebih rela bolak-balik beberapa halaman data on-chain daripada percaya dengan empat kata “audit lulus”.