Recentemente, ao verificar atualizações de projetos, percebi que muitas pessoas iniciantes (incluindo eu mesmo no passado) ao ouvirem “auditado” ou “código aberto no GitHub” acham que está garantido, na verdade é preciso analisar com mais cuidado. No GitHub, eu olho primeiro três coisas: a última contribuição significativa foi feita por alguém, houve discussões/PRs relacionadas às mudanças importantes no contrato, e a tag de lançamento e a implantação na cadeia conferem-se… caso contrário, o código aberto pode ser apenas “exposto ao público”.

O relatório de auditoria também não deve ser avaliado apenas pelo logo na capa, ao folhear a página de conclusões: quais contratos estão cobertos pelo escopo, há comentários sobre “atualizações de proxy/controle multi-assinatura não auditadas”, e se os problemas remanescentes estão “já resolvidos” ou “aceitando riscos”. Atualizações de multi-assinatura são ainda mais diretas: quais chaves, quem as controla, há timelock ou pausa de emergência, e permissões tão altas que podem alterar a lógica diretamente, eu normalmente considero de alto risco.

Recentemente, as pessoas discutem expectativas de redução de juros, índice do dólar, e ativos de risco às vezes sobem, às vezes caem… quanto mais essa emoção de altos e baixos se intensifica, mais quero entender claramente “quem pode alterar o código”. Na próxima vez, pretendo fazer um pequeno esquema das permissões comuns de atualização/multi-assinatura para facilitar a comparação. Geralmente, qual item vocês olham primeiro para avaliar a confiabilidade?