Sempre que vejo alguém a elogiar “Já fizemos uma auditoria, o GitHub é open source, absolutamente seguro”, apetece-me rir. Aquilo de “relatório de auditoria” é, no fundo, só um relatório de check-up. No check-up, o teu corpo parece estar bem, mas isso não significa que amanhã não vás morrer de repente. Um repositório no GitHub ainda menos: mesmo que o código esteja escrito lindamente, se houver uma mudança no controlo de chaves multi-assinatura, ou se o contrato tiver uma porta dos fundos escondida, tu simplesmente não consegues ver.

Recentemente, novos L1/L2 começaram a distribuir incentivos para puxar TVL, e os utilizadores antigos estão todos a queixar-se de “minerar para vender”. Na verdade, o que os recém-chegados deviam ver não é o número de TVL, mas sim a lista de endereços da atualização multi-assinatura e as respetivas permissões. É como arrendar uma casa: o senhorio diz que a casa está renovada, mas tu tens de ver se no contrato existem cláusulas do tipo “é possível aumentar a renda a qualquer momento”. Quem são os detentores do multi-assinatura? É a própria equipa do projeto ou é a comunidade? Se só houver 3 endereços e 2 deles forem do mesmo grupo, então esta casa pode ser desmontada a qualquer momento.

Enfim, o meu hábito é: primeiro ver o histórico de commits do GitHub, para ver se, de repente, alguém adicionou uma função de “levantamento urgente” ao contrato; depois ler o relatório de auditoria e ver se “problemas conhecidos” foram ignorados; por fim, verificar o limiar de assinaturas e os detentores do multi-assinatura. Não confies em “consenso para sempre”; liquidez é mesmo o pai.