Acabei de ver alguém perguntando o que olhar no GitHub do projeto e como avaliar, nos relatórios de auditoria, se não é só “lavagem” — na real, é bem simples: sem um relatório de auditoria para atualizações centralizadas com multi-sig, basicamente é como assinar em branco.

Dito de outra forma: antes de olhar o relatório de auditoria, eu sempre verifico primeiro se o limite do multi-sig e as partes envolvidas são公开（abertamente) transparentes. Se a permissão de upgrade estiver em 1/1 ou nas mãos de apenas dois endereços, é só trocar a forma de explorar. O GitHub deve ser usado para ver o horário do último commit e a frequência de atualizações; se estiver tudo parado, tipo um charco, não mexe.

Recentemente, muita coisa sobre incentivos e expectativas de pontos em redes de teste está voando por todo lado, e todo mundo especula se o lançamento na mainnet vai ou não emitir token. Na verdade, mais do que isso, eu me preocupo se existe gente comum ou organizações do setor dentro do multi-sig de upgrade. Se existir, pelo menos na hora de rodar tem alguém que avisa.

“Eu tenho mais medo de perder” na verdade não é uma oportunidade; é não ter ninguém para me lembrar antes de fugir.