さっき昔の古いメモを見返していて、2017年のあの「監査済み」プロジェクトがその後逃げた件の振り返り…今は新しいプロジェクトのGitHubを開くたびに、まずはcommitの頻度とissueの議論の質を見て、スター数だけを見ることはなくなりました。正直、監査レポートだって今は同じで、多くの初心者は「重大な脆弱性は見つかりませんでした」という結論の数行だけ見て突っ込んでしまう。でも本文の前提条件、テストのカバレッジ、そしてああいう「n/a」の箇所こそが、本当の怪談（鬼話）です。マルチシグのアップグレードなんて論外で、署名者のリストが、馴染みのあるKOLなのか匿名アドレスなのかで差が大きすぎます。

最近、再スティーキングや共有セキュリティのプロジェクトでかなり揉めていて、収益の上乗せは「入れ子（套娃）」だと言われています。私は、底層の資産自体が不透明なら、いくら層を重ねてもただの空中楼閣だと思います。あちこち見てみると、結局のところ信頼は「私たちは監査しました」と叫んで積み上げるものではなくて、GitHubのすべてのコミットや、監査レポートのそれぞれの脚注を人に見せる気持ち—つまり公開して開示する姿勢—があって初めて生まれるものです。

私が一番怖いのは、百倍のチャンスを逃すことじゃなくて、自分がコードの中のwarningを見ているのに、なお「それは“低確率の出来事”だ」と強引に自分を説得してしまうことです。