Acabei de ler o código de um projeto que se dizia ter sido auditado por três empresas. O GitHub tem mais de dois mil stars e todos os commits foram feitos em apenas duas semanas. Sinceramente, quando vejo a “credibilidade” do projeto, a minha primeira reação não é contar quantas páginas tem o relatório de auditoria; é primeiro ir ver quem é que, na prática, está a gerir o multisig de upgrade. É uma carteira controlada por uma pessoa ou por um bot? Com que frequência é que se mexe? E se, antes de haver pressão vendedora, o signatário foi recentemente trocado.

O número de stars no GitHub, com fundo branco e texto a preto, eu não acredito lá muito. Já a interação na secção de issues e a velocidade de integração dos PRs têm, pelo menos, algum valor como referência. Quanto ao relatório de auditoria, o que interessa é se no scope está escrito que não é só lógica de negócio; por exemplo, se falhas comuns como otimização de gas e reentrancy estão explicitamente assinaladas como “assumidas pelo próprio projeto”. Se o relatório estiver nesse nível, basicamente é como andar nu.

Ultimamente, o panorama macro anda a falar de cortes de taxas, e os ativos de risco sobem e descem com o índice do dólar quase como se fossem bebés siameses. Por isso, eu dou mais atenção a se, na cadeia, a estrutura de gas tem algum salto anormal. Se, quando a cadeia estiver congestionada, o multisig de upgrade de repente entrar em ação, isso dá uma sensação parecida com um alarme de incêndio a tocar, mas ninguém mexe no corredor.

Faz screenshots, mas não os guardes só para ver depois.