Recentemente, ao verificar atualizações de projetos, percebi que muitos novatos (incluindo eu antes) ao ouvirem “auditoria concluída” ou “código aberto no GitHub” acham que está garantido, na verdade é preciso analisar com mais cuidado. No GitHub, eu olho primeiro três coisas: se a última contribuição significativa foi feita por uma pessoa, se as mudanças nos contratos principais têm discussões/PRs correspondentes, e se a tag de lançamento e a implantação na cadeia estão alinhadas… caso contrário, o código aberto pode ser apenas “exposto”.

O relatório de auditoria também não deve ser avaliado apenas pelo logo na capa, ao folhear a página de conclusões: quais contratos estão cobertos, há comentários sobre “atualizações de proxy/permissão multi-assinatura não auditadas”, e se os problemas remanescentes foram “corrigidos” ou “aceitos como risco”. Atualizar a multi-assinatura é ainda mais direto: quais chaves, quem as possui, se há timelock e pausa de emergência, e permissões tão altas que podem alterar a lógica diretamente, eu considero de alto risco.

Recentemente, enquanto todos discutem expectativas de corte de juros, índice do dólar, e ativos de risco às vezes sobem às vezes caem… quanto mais essa emoção de altos e baixos, mais quero entender claramente “quem pode alterar o código”. Na próxima vez, planejo fazer um pequeno esquema das permissões comuns de atualização/multi-assinatura para facilitar a comparação. E vocês, qual item costumam verificar primeiro para julgar a confiabilidade?