刚 traduzi um projeto que dizia ter o código auditado por três empresas. O GitHub tem mais de 2 mil stars, e todos os commits foram feitos em um período de duas semanas. A verdade é que, quando penso na “credibilidade” do projeto, minha primeira reação não é ver quantas páginas tem o relatório de auditoria — é primeiro checar, na prática, quem está controlando de fato o multisig de upgrade. É uma carteira de pessoa real ou de robô? Com que frequência ela mexe? E foi justo depois de uma fase de pressão vendedora que trocaram os signatários?

Eu não confio muito naquele número de stars do GitHub com fundo branco e letras pretas. Em contrapartida, as interações na seção de issues e a velocidade de merge das PRs acabam sendo ainda mais relevantes. Quanto aos relatórios de auditoria: eu olho se, no scope, está claramente definido que não é só lógica de negócio. Se temas comuns como otimização de gas e reentrância não estiverem simplesmente marcados como “o projeto assume o risco” — esse tipo de relatório, no fim, basicamente é como andar sem roupa.

Recentemente, o cenário macro anda falando de cortes de juros; ativos de risco e o índice do dólar sobem e caem juntos, como se fossem um bebê de gêmeos siameses. Eu fico ainda mais atento a se a estrutura de gas on-chain tem mudanças anormais. Se, quando a rede estiver congestionada, o multisig de upgrade de repente começar a “trabalhar”, é como um alarme de fumaça disparando, mas ninguém se move no corredor.

Guarde os prints, mas não guarde só pra guardar.