Recentemente, ao ver os projetos que frequentemente compartilham um link do GitHub + relatório de auditoria dizendo que são “muito seguros”, fiquei ainda mais nervoso… Para um iniciante que quer verificar a credibilidade, acho que não devemos focar tanto na beleza do código, mas sim em “quem pode alterá-lo”: se a atualização é multi-assinatura, quantas chaves há, qual é o nível de segurança, se os assinantes estão dispersos (não todos do mesmo time), se há timelock, pelo menos para te dar um tempo de reação.

A auditoria também não deve ser avaliada apenas pelo logo na capa, folheie algumas páginas para verificar se os problemas de alto risco foram realmente resolvidos, se estão “confirmados” ou “discordamos”, além de conferir se a versão da auditoria corresponde à implantação atual.
O mesmo vale para o GitHub, se as mudanças principais têm marcas de revisão, se os commits não são de repente um grande pacote…
Claro que, falando de forma simples, tudo isso só reduz a probabilidade de erro. Quando o mercado acompanha o dólar, subindo e descendo junto, prefiro tratar minha posição como algo que pode ser atualizado a qualquer momento, com um simples botão de “ligar/desligar”.
Por enquanto, é assim.