Recentemente, ao acompanhar projetos, não quero mais ser levado pela “narrativa”, então coloquei um post-it na mesa: primeiro olhe para a credibilidade, depois para a história.

Leitores iniciantes no GitHub na verdade não precisam entender o código, primeiro ver se as atualizações são geridas por alguém a longo prazo, se há respostas às issues, se as melhorias-chave deixam claro os riscos;
depois revisar o relatório de auditoria, não olhe apenas para “aprovado/não há problemas graves”, foque se há itens de alto risco, se ao final foi realmente corrigido, se a instituição de auditoria é daquele tipo que só carimba.
Sobre a atualização de multiassinatura, na essência, é “quem pode mover seu dinheiro”, verificar se os signatários são suficientemente dispersos, se o limiar é razoável, se há timelock para que todos possam reagir antecipadamente.
Recentemente, as pessoas têm interpretado o fluxo de fundos de ETF e o apetite ao risco do mercado de ações dos EUA juntos, e quando o humor sobe, é fácil ignorar esses detalhes fundamentais…
De qualquer forma, vou seguir com o post-it, mais devagar e com mais segurança.