Sempre que eu vejo alguém vender a ideia de “nós auditamos, o GitHub é open source, é definitivamente seguro”, eu quero rir. O “relatório de auditoria” na prática é, basicamente, um exame médico: quando você está com o corpo em bom estado durante o check-up, isso não significa que amanhã você não vai morrer do nada. E o repositório do GitHub, então, nem se fala: por mais bonito que o código esteja escrito, se a atualização do controle de múltiplas assinaturas trocar de mãos, ou se o contrato esconder uma porta dos fundos, você não consegue perceber.

Recentemente, novos L1/L2 estão lançando incentivos para atrair TVL, e usuários antigos estão reclamando de “minerar, emitir e vender”. Na real, o que o iniciante deveria olhar não é o número de TVL, e sim a lista de endereços de upgrade de múltiplas assinaturas e as permissões. É como alugar um imóvel: o locador diz que a casa foi reformada, mas você precisa ver no contrato se existe alguma cláusula do tipo “é possível aumentar o aluguel a qualquer momento”. Quem são os detentores do multi-sig? O próprio time do projeto ou a comunidade? Se só há 3 endereços, e 2 deles são da mesma equipe, essa “casa” pode ser desmontada a qualquer momento.

No fim, o meu costume é: primeiro olhar o histórico de commits do GitHub, para ver se alguém adicionou de repente no contrato uma função de “saque de emergência”; depois ler o relatório de auditoria, para checar se algum “problema conhecido” foi ignorado; e por último verificar o limite de assinaturas e os detentores do multi-sig. Não acredite em nada como “consenso para sempre”; liquidez é o pai de tudo.