最近よく「このプロジェクトは信頼できるのか」と聞かれるが、正直なところ私も頭が痛い。GitHubの更新頻度、監査レポートの日付、マルチシグウォレットの権限配分——こういったものは一瞥する程度で、聖典のように扱うことはない。

監査レポートが出てもコードが今後問題を起こさないとは限らないし、マルチシグを設定しても秘密鍵が失われないとは限らない。要するにすべて「確率を下げる」ことであって、「リスクをゼロにする」ことではない。

今の私の考え方は、バックアップHDDに似ている：2つ同時に壊れる確率は極めて低いとわかっていても、3つ目にもう一つ保存する。技術を信用していないわけではなく、自分がうっかり間違ったリンクをクリックしないか信用できないのだ——最近のフィッシングは異常で、ハードウェアウォレットは品切れ状態だ。皆ようやく慌て始めた証拠だが、慌てているときほど安易に注文してしまう。

ともあれ私のやり方は、どんなに人気のプロジェクトでも、失っても痛くない分だけを投入し、残りはもう失ったものと考える。とりあえずこんなところだ。