今日は実のある話をしよう。多くの友人が聞いてくる。「あるプロジェクトが安全かどうかは、GitHubのスター数、監査レポートが掲示され、多署名アドレスが並んでいれば、それで信頼できるの？」**信号**は実は、そうした表面のものにはない。

GitHub上のコードは、私はまず**更新頻度**と**issue（課題）の対応**を見ることが多い。プロジェクト側が数か月更新しないなら、スターがどれだけ多くても「放置（ゾンビ）」の可能性がある。逆に毎日改修しているのに、コミュニティの疑問に一切答えないなら、コードの品質も怪しい。監査レポートに関しては、率直に言うと**監査する側の規模**と**監査の範囲**を見るべきだ——もしロジックだけ監査して、アップグレード権限は監査していないなら、多署名ウォレットの中に仕込まれたバックドアの可能性がある。今はハードウェアウォレットが品薄で、皆のセキュリティ意識も高まっているけど、機器ばかりに注目せず、いちばん危ない**信号**は、コントラクト内のアップグレード用の多署名だ。

多署名のアドレス、関係者、投票の閾値は、オンチェーンで確認できる。単に「あるか」だけでなく「どう使われているか」を見るべきだ。誰も監視していない多署名は、実質的には単署名と変わらない。私はとりあえず、ガバナンス設計を一通り調べてから、触るべきか決めるのが習慣だ。真の安全は、こうした細部の中に隠れている。価格のK線や、誰か大物が叫ぶ銘柄指示で得られるものではない。