Acabei de vasculhar mais um projeto no GitHub do time. Ao clicar, minha primeira reação continua sendo olhar a frequência dos commits e a data dos relatórios de auditoria — sinceramente, depois de ler aqueles termos técnicos mais algumas vezes, acaba ficando tudo meio igual; o que realmente importa é quantas pessoas têm as chaves do endereço do multisig que eles estão atualizando e se as atualizações de código mais recentes estão sendo feitas para corrigir um bug crítico. Em outras palavras, muitos casos de falha acontecem porque o limiar (threshold) do multisig é configurado baixo demais ou então é basicamente um single-sig; aí, quando uma carteira de uma pessoa vaza, o sistema inteiro desaba.

Recentemente, também cavaram bastante o esquema de tags/sistemas de dados on-chain: tags de segurança em DeFi, certificações de auditoria, etc. No fim das contas, o próprio time consegue comprar ou “conseguir” algumas avaliações em alguns sites. De qualquer forma, meu hábito agora é: depois de configurar alertas de transação e limites, eu olho de novo se há algum endereço de alguma instituição conhecida ou de uma auditora terceira participando entre os owners do multisig; se forem só endereços anônimos, eu prefiro observar antes de entrar.

Sério, toda vez que eu configuro os limites, aqueles poucos minutos são os mais difíceis. Dá a sensação de que vou perder a janela, quando na prática em várias ocasiões eu acabei escapando justamente de grandes quedas. Enfim, devagar.