Ontem à noite, ao revisar os materiais do projeto, meus olhos ficaram cansados, no GitHub uma pilha de commits parecia que eu estava espionando o diário de alguém: alguns mais frequentes, mas só com pequenas correções, outros sem movimento há meses, mas de repente uma grande atualização... E junto com o relatório de auditoria, tudo escrito de forma muito bonita na papelada, mas na minha cabeça só ficava passando “Será que alguém realmente consegue fazer as correções no prazo?”. Recentemente, ouvi dizer que uma região vai aumentar impostos, e o clima de conformidade está oscilando, a expectativa sobre entrada e saída de fundos ficou mais sensível, quanto mais sensível, mais quero entender o que significa “confiável”.

Minha solução burra é: primeiro, não olhar para o quanto eles dizem que é seguro, primeiro, verificar “quem pode pausar em caso de problema”. Se a atualização tem múltiplas assinaturas, há membros públicos ou limites de assinatura, há timelock (aquele que dá tempo para o mercado reagir), as permissões de emergência podem ser alteradas com um clique; no relatório de auditoria, foco em procurar as três seções “já corrigido/não corrigido/risco aceito”, especialmente se o motivo de não corrigido for vago; no GitHub, nem preciso entender o código, pelo menos observar o ritmo de lançamentos, se há alguém respondendo seriamente às issues, se as mudanças importantes têm discussão. Resumindo, para um iniciante, a credibilidade está em “pessoas” e “processos”, não apenas em palavras bonitas, devagar, que eu não estou com pressa.