Recentemente, uma série de novos L1/L2 estão a incentivar a aumentar o TVL, e os colegas no grupo, enquanto avançam, criticam “minar, vender”.

Eu, por outro lado, preocupo-me mais: quem é que realmente manda neste projeto, e quem leva a culpa se algo correr mal.

Os novatos querem ver “credibilidade”, mas acho que primeiro não devemos focar nas estrelas do GitHub.
O mais importante é verificar: as contratações-chave são atualizáveis?
Se sim, quem tem a chave para atualizar?
Quantas chaves múltiplas são necessárias, qual o limiar, e os signatários são sempre os mesmos com diferentes pseudónimos?
Quanto ao relatório de auditoria, não olhem só para “aprovado”.
Virem a página de classificação de risco, especialmente para itens como “permissões centralizadas”, “reentradas/retornos de chamada”, “pausa de emergência”.
Muitos não são vulnerabilidades, mas “escolhas de design”, ou seja, podem alterar as regras com um clique no futuro.

Eu próprio tenho o hábito de: primeiro, verificar os endereços de admin, proxy, timelock, multisig, e seguir o rasto na blockchain.
Se tudo bater, então podemos falar de interações; se não, deixa estar, menos ganhos, mas durmo melhor à noite.