最近 vi alguns projetos e dei uma olhada rápida nos respectivos GitHub e relatórios de auditoria. Sinceramente, antes eu também era preguiçoso: achava que “o código aberto já basta”. Mas depois percebi que só ver se existe relatório de auditoria é insuficiente.

O ponto-chave são duas coisas: primeiro, ver se no relatório de auditoria aparecem “riscos conhecidos” ou “recomendações de correção” que não foram implementadas — aí vale ficar atento; segundo, analisar a configuração de multiassinatura de uma atualização: quem administra, quantas pessoas assinam e qual é o período de lock — isso é mais importante do que alta e queda de preço do token.

Esses casos de roubo em pontes cross-chain, por exemplo: olhando os registros on-chain depois do ocorrido, o endereço de multiassinatura já tinha sido alterado para um endereço suspeito há algum tempo, só que ninguém notou. E na rodada de cotações anormais de oráculos, também: esperar um pouco mais pelo tempo de confirmação costuma ajudar a evitar vários problemas.

De qualquer forma, agora eu criei o hábito: antes de lançar um novo pool ou uma nova estratégia, primeiro confiro os commits do GitHub e vejo se recentemente houve mudanças em código relacionado a permissões. Vai mais devagar, mas é melhor do que ser “passado pra trás” e se arrepender depois.