Hari ini kita bahas sesuatu yang benar-benar nyata. Banyak teman bertanya, kalau melihat sebuah proyek aman atau tidak, GitHub punya bintang, laporan audit dipajang, alamat multisig ditaruh di sana—apakah itu berarti sudah bisa dipercaya? **Isyarat** sebenarnya tidak ada di hal-hal yang tampak di permukaan itu.

Untuk kode di GitHub, biasanya saya cek dulu **frekuensi commit** dan **penanganan issue**. Kalau pihak proyek tidak update selama berbulan-bulan, bintang bisa saja sebanyak apa pun tapi proyeknya mungkin sudah seperti “mayat hidup”; sebaliknya kalau setiap hari berubah tapi tak pernah menanggapi pertanyaan komunitas, kualitas kodenya juga masih tanda tanya. Soal laporan audit, terus terang yang penting adalah **skala auditor** dan **cakupan audit**—kalau yang diaudit cuma logika tanpa menguji izin upgrade, maka ada kemungkinan pintu belakang disembunyikan di dalam dompet multisig. Sekarang hardware wallet mulai langka dan kesadaran keamanan meningkat, tapi jangan hanya fokus ke perangkat; multisig upgrade di dalam kontrak justru **isyarat** paling berbahaya.

Alamat multisig, pihak yang terlibat, dan ambang batas voting—semua itu bisa dicek di on-chain. Jangan cuma lihat “ada”, tapi lihat “cara menggunakannya”. Multisig yang tidak diawasi, pada dasarnya sama saja dengan single-sig. Pokoknya saya biasanya mulai dari menelusuri desain tata kelolanya dulu, baru memutuskan apakah layak disentuh atau tidak. Keamanan yang sesungguhnya ada pada detail-detail seperti ini, bukan pada chart harga K atau teriakan ajakan dari seorang “big shot” yang bisa memberi sinyal.