Tadi saya melihat ada yang bertanya bagian GitHub proyek harus dilihat yang mana, dan bagaimana menilai apakah laporan audit itu “disiapkan” saja. Sebenarnya cukup sederhana—tidak ada laporan audit untuk multisig upgrade yang terpusat, pada dasarnya itu setara dengan audit “asal tempel”.

Intinya, sebelum melihat laporan audit, saya pasti dulu melihat ambang batas dan pihak-pihak yang berpartisipasi di alamat multisig apakah dipublikasikan secara transparan. Kalau hak upgrade dipegang oleh 1/1 atau hanya dua alamat, itu cuma ganti gaya untuk memotong dengan cara lain. Di GitHub yang dicek adalah waktu commit terakhir dan seberapa sering pembaruan dilakukan; kalau terlihat seperti kolam air yang tidak berubah, pada dasarnya jangan disentuh.

Baru-baru ini banyak uji coba insentif dan ekspektasi poin beterbangan, semua orang menebak apakah peluncuran mainnet akan disertai penerbitan token. Namun dibanding itu, yang lebih saya pedulikan adalah apakah di multisig upgrade ada pengguna biasa atau organisasi industri. Kalau ada, minimal saat dijalankan ada yang bersuara memberi pengingat.

Yang “paling saya takuti” sebenarnya bukan melewatkan kesempatan, melainkan sebelum lari kabur tidak ada yang mengingatkan saya.