誰かが「私たちは監査済みで、GitHubはオープンソース、絶対に安全だ」と吹聴するのを見かけるたびに、僕はいつも笑いたくなる。監査レポートというアレは、要するに健康診断書みたいなもので、健康診断のとき体調が良かったからといって、明日突然死しないとは限らない。ましてGitHubのリポジトリなんて、コードがどれだけきれいに書かれていようと、マルチシグのコントロール権が切り替わったり、コントラクトに裏口が隠されていたりしたら、あなたには到底見抜けない。

最近新しいL1/L2がインセンティブでTVLを釣っているけど、古参ユーザーはみんな「掘って売れ」が話題だと不満を漏らしている。実際、小手先で見るべきなのはTVLの数字じゃなくて、アップグレード用マルチシグのアドレス一覧と権限だ。賃貸と同じで、大家は「部屋はリフォーム済み」と言っても、契約書に「いつでも家賃を上げられる」条項がないかを確認しないといけない。マルチシグの保有者は誰？プロジェクト側なのか、それともコミュニティなのか？もし3つのアドレスしかなく、そのうち2つが同じチームの人たちなら、この部屋はいつでも解体され得る。

とにかく自分の習慣はこうだ。まずGitHubのコミット履歴を見て、突然誰かがコントラクトに「緊急引き出し」みたいな関数を追加していないか確認する。次に監査レポートを見て、「既知の問題」が無視されていないかチェックする。最後にマルチシグの署名しきい値と保有者を調べる。「永遠にコンセンサス」なんて信じるな。流動性こそが本当の親玉だ。