Recentemente, alguém sempre me pergunta: o projeto é confiável ou não. Para ser honesto, não dou uma conclusão, só olho para três “pistas”: GitHub, relatório de auditoria e múltiplas assinaturas de atualização.

No GitHub, não olho para o número de estrelas, primeiro verifico se as atualizações só aparecem antes ou depois de emitir tokens, quem faz os PRs, se as mudanças giram sempre em torno de permissões/atualizações; o relatório de auditoria também não basta apenas ver que foi “aprovado”, estou mais interessado se a lista de problemas inclui riscos de centralização/possibilidade de atualização e se esses pontos foram realmente respondidos, ou se apenas dizem “risco aceito” para passar a questão. Quanto às múltiplas assinaturas, é mais direto: quantas pessoas, qual o limite, se os signatários estão na mesma comunidade, o mais perigoso é aquele que fala de descentralização, mas na prática tem uma chave só na mão.

Recentemente, a expectativa de corte de juros e o índice do dólar voltaram a causar alvoroço, ativos de risco sobem e descem juntos, parece animado, mas quanto mais essa narrativa voa, mais quero voltar a esses fatos concretos… pelo menos assim sei quem está contando a história, quem realmente está cumprindo. Antes, eu era bem paranoico de “só olho na cadeia”, mas percebi que na cadeia dá para ver as ações, mas não as motivações, então ainda tenho que olhar o código e as permissões juntos, por enquanto.