また別のプロジェクトのGitHubを見て、入った瞬間の第一印象もやっぱりcommitの頻度と監査報告書の日付でした——正直、監査報告書のあの山ほどの専門用語を読み慣れても結局は同じで、肝心なのは「マルチシグのアップグレードに使われるアドレスが結局何人で持っているのか」、そして最近のコード更新が本当に緊急の脆弱性を直すためのものかどうかです。要するに、多くのコケた事例は、マルチシグの門限（しきいち）が低すぎるか、あるいは最初から単独署名で、特定の人のウォレットが1回でも漏れたら全部が崩れる、というパターンなんですよ。

最近はオンチェーンのデータツール一式の「タグ」システムもけっこう暴かれていて、「DeFiセキュリティ」タグとか「監査認証」みたいなものも、実際にはチーム側が自分で買うか、いくつかのサイトの評価を“刷る”ことだってできるわけです。とにかく今の自分の習慣は、取引の通知と上限を設定したあと、アップグレード用のマルチシグのownerに、見慣れた機関アドレスや第三者の監査会社が入っているかをもう一度見ることです。全部が匿名アドレスなら、まずは様子見ですね。

正直、毎回上限を設定したあの数分がいちばんつらくて、損しちゃう（出遅れる）気がしてならないんですが、結果的には何回かたまたま大きな下落を避けられていました。まあいいや、ゆっくりいきます。