実は多くの人はプロジェクトを見るとき、まず監査報告書があるかどうかを確認します。あれば安全だと思ってしまう。でも監査が伝えているのは「現時点のこのバージョンのコードにはおそらく脆弱性がない」ということにすぎず、その後に改変されて問題が起きないとは限りません。
私は今では、むしろ先にGitHubのコミット頻度とコードの更新日時を見るようにしています。あるプロジェクトが数か月間ほとんど新しいコミットをしていないなら、単に誰も保守していない可能性があります。一方で毎日のようにコミットが行われているなら、何を変更したのか、監査を受けずにこっそりメインネットへデプロイしていないかを確認する必要があります。さらにアップグレード用のマルチシグについても、署名者は何人なのか、誰が保有しているのか、特定のアドレスを迂回できるのかを見なければなりません。これらはオンチェーンで確認できますが、大半の人は面倒がって調べません。
それからもう一つ細かい点として、監査報告書では監査範囲を確認する必要があります。コントラクトだけを見たのか、それともスクリプトやデプロイ手順まで含まれているのか。多くのプロジェクトはスクリプトが原因で問題を起こしており、コントラクト自体はむしろクリーンです。
最近、コミュニティでプライバシーコインやミキシングのコンプライアンスについて議論しているのを見ましたが、最後まで話してみると
原文表示