危うく踏み抜くところだった……考えれば考えるほど怖くなる…

あるプロジェクトがなかなか賑やかで、GitHubのスターも多いし、監査レポートも大量に貼ってある。Trail of BitsやCertikみたいな名前も出てる。最初は少額でも入れて遊ぼうと思ってたんだけど、つい手が滑って彼らのアップグレード用のマルチシグアドレスをもう少し調べちゃった。そしたらなんと、owner権限が2/3のマルチシグなのに、3つのアドレスのうち2つは同じ人の別ウォレットだった。これって単独署名（シングルシグ）と何が違うの？

気づいてから思ったんだけど、多くの人は監査レポートを「ある／ない」だけで見てしまう。でも本当に見るべきなのは、監査 scope に「アップグレードのロジック」が含まれているか、そしてマルチシグの署名者（signer）の分布が本当に分散されているのかどうかだ。GitHubのスターも盛り上がってるように見えるけど、コードの更新は半年止まってて、commitはREADMEの修正ばかり。

大金の送金が「賢いお金」みたいに扱われてるけど、実際は相手が別ウォレットに変えただけかもしれない。自分は余計なことをしないほうがいい。とにかく今は、オンチェーンのデータを何ページも見直すほうを選ぶ。あの「監査通過」の4文字は信じない。