Sinto que muitos novatos olham para a "credibilidade" apenas pelo logotipo de auditoria, na verdade isso não é suficiente. Primeiro, confira os commits no GitHub: há alguém mantendo há muito tempo, há alguém respondendo às issues, as mudanças principais são de repente um grande conjunto de commits… Eu também verifico o endereço do contrato e a tag do repositório, pelo menos para evitar a situação constrangedora de “na cadeia é v1.2, mas o código que você está vendo é v1.0”.

Não olhe apenas para a página de conclusão do relatório de auditoria, procure mais abaixo: o escopo cobre contratos de atualização/roteadores/permissões, os problemas encontrados foram “corrigidos” ou “aceitam risco”, há commits correspondentes às correções? Além disso, sobre a atualização de multiassinatura, o foco não é só na estética, mas em quem assina, se pode trocar quem assina, se há timelock, se as permissões estão muito amplas, ou seja, regras que podem ser alteradas a qualquer momento.

Recentemente, módulos e camadas de DA estão em alta, os desenvolvedores estão empolgados, os usuários ficam confusos… Eu, de qualquer forma, sigo esse método simples para fazer uma triagem inicial, pelo menos para não ser levado por “narrativas”. Não pergunte pelos bastidores, a questão é reproduzir.