差一点就踩坑了，越想越后怕…

有个项目看着挺热闹，GitHub 星星也不少，审计报告贴了一堆，什么 Trail of Bits、Certik 都挂着。我本来想 jogar um pouco de dinheiro e brincar, mas por impulso acabei virando e revirando os endereços de multiassinatura de atualização deles — e aí veio a surpresa: o owner tinha permissão de uma multiassinatura 2/3, mas dentro dos três endereços, dois eram na verdade de uma mesma pessoa, só que com carteiras diferentes. Qual a diferença disso para uma assinatura única?

Só depois que caiu a ficha que entendi: muita gente olha o relatório de auditoria só para ver “tem” ou “não tem”, mas o que realmente deveria importar é se, dentro do escopo da auditoria, existe “lógica de atualização” e se a distribuição dos signers da multiassinatura é mesmo descentralizada. As estrelas no GitHub até podem ser altas, mas o código não é atualizado há seis meses, e os commits são só mudanças em README.

Transferências grandes são tratadas como “dinheiro esperto”, mas talvez seja apenas a pessoa trocando de carteira. Enfim, agora eu prefiro conferir mais páginas de dados on-chain do que confiar naqueles quatro dizeres “auditoria aprovada”.