Acabei de revisitar notas antigas e vi aquele retrospecto de 2017 de um projeto “auditado” que depois acabou dando no pé… Agora, toda vez que abro um projeto novo no GitHub, eu sempre verifico primeiro a frequência dos commits e a qualidade das discussões nas issues, em vez de olhar só o número de estrelas. Honestamente, os relatórios de auditoria também: muitos iniciantes simplesmente leem aquelas poucas linhas da conclusão, do tipo “nenhuma vulnerabilidade crítica foi encontrada”, e já vão correndo, mas são exatamente as premissas do texto, o escopo da cobertura de testes e aqueles trechos “n/a” que, na prática, viram o verdadeiro enredo de terror. E atualizar multisigs então, nem se fala — na lista de signatários são alguns KOLs conhecidos ou endereços anônimos? A diferença é enorme.

Recentemente, esses projetos de re-staking e compartilhamento de segurança estão brigando bastante, e dizem que a sobreposição de rendimentos é “matriosca”. Eu acho que, se o ativo subjacente em si não é transparente, então empilhar quantas camadas forem só vira construção no ar. Depois que analisei tudo, no fim das contas, confiança não se constrói com o grito “nós auditamos” empilhando relatório — se constrói com a disposição de abrir para as pessoas cada commit do GitHub, cada nota de rodapé de cada relatório de auditoria.

O que eu mais temo perder, na verdade, não é alguma oportunidade de cem vezes — e sim o fato de eu mesmo ter visto os warnings no código e ainda assim convencer a mim mesmo de que aquilo era um “evento de baixa probabilidade”.