Recentemente, ao analisar projetos, tenho ficado cada vez mais preguiçoso em ouvir narrativas, e volto às três coisas básicas: GitHub, relatórios de auditoria, atualização de múltiplas assinaturas. Os novatos querem ler sobre “confiabilidade”, na verdade, primeiro não foquem em estrelas e compartilhamentos, mas em verificar se os commits são contínuos, se são feitos pelo mesmo grupo de pessoas a longo prazo, se há aquele tipo de “surpresa” de fazer uma grande quantidade de mudanças na véspera do lançamento; os relatórios de auditoria também não devem ser apenas pela frase na capa “auditado”, mas verificar a lista de problemas, como as correções de risco elevado foram feitas, se há explicações de reprodução, se há uma segunda auditoria ou pelo menos commits de correção públicos que correspondam; atualizar múltiplas assinaturas é ainda mais importante, quais chaves, quem as possui, se há timelock (que dá tempo para reagir), e se o botão de emergência pode alterar as regras com um clique... entender metade dessas coisas já é mais confiável do que “gritar alto no grupo”.

Nos últimos dias, a discussão sobre limites de privacidade, moedas de mistura e conformidade tem sido bastante polarizada, mas eu me preocupo mais: se a pressão regulatória aumentar, o projeto usará “atualizações de emergência” para te levar a uma versão que você nem concordou. Por agora é isso, vou dormir.