No caminho para o trabalho, revisando documentos de protocolos, percebi que muitas pessoas perguntam "Atividade no GitHub = segurança?" Agora estou mais inclinado a encarar isso como um aspecto secundário: verificar se os commits são contínuos, se tudo não é uma série de robôs alterando readme; se a lógica principal tem testes, se há alguém realmente verificando bugs nas issues, como os desenvolvedores respondem... Essas coisas são mais confiáveis do que apenas "quantidade de estrelas".

Relatórios de auditoria também não devem ser considerados uma carta branca, geralmente começo verificando na conclusão se "foi corrigido/não foi corrigido/aceitou o risco", depois olho o escopo: quais contratos foram auditados, se foi apenas uma versão específica, se a atualização ainda conta. O mais fácil de esquecer é a atualização de multiassinaturas: quem pode decidir, quantas chaves são necessárias, se há timelock (pelo menos um tempo de reação). Em resumo, se pode fazer upgrade, isso significa que o risco da camada "pessoa" sempre existe.

Recentemente, com as notícias de aperto ou relaxamento na conformidade, as expectativas de entrada e saída de fundos ficaram muito sensíveis... Nesse momento, me preocupo mais se os membros da multiassinatura estão dispersos, se há registros transparentes de alterações, senão, por mais bonito que seja na cadeia, se o sentimento off-chain ficar tenso, todo mundo se apertando fica feio. De qualquer forma, prefiro ir devagar, trocando por uma confiança compreensível ao invés de velocidade.