Agora voltei a analisar o GitHub de um projeto de um promotor e, ao entrar, a primeira reacção continua a ser ver a frequência dos commits e a data dos relatórios de auditoria. Honestamente, depois de ler tantos termos técnicos nesses relatórios, acaba por ser mais do mesmo; o que realmente importa é quantas pessoas detêm, afinal, o endereço que passou a usar multisig para a atualização, e se as actualizações recentes de código estão a ser feitas para corrigir vulnerabilidades urgentes. Em poucas palavras, muitos casos de “falha” acontecem porque o limite do multisig é definido demasiado baixo, ou então porque é mesmo feito single-sig; e quando uma pessoa deixa escapar a sua carteira, todo o sistema colapsa.

Nos últimos tempos, também houve bastante investigação e exposição sobre o sistema de etiquetas das ferramentas de dados on-chain: “etiquetas de segurança DeFi”, “certificações de auditoria”, etc. Na prática, a equipa pode comprar ou fazer “boost” em classificações de alguns sites. Seja como for, o meu hábito agora é: depois de configurar alertas de transacções e limites, volto a ver uma vez se, entre os owners que fizeram upgrade para multisig, há endereços de instituições conhecidas ou a participação de auditores terceirizados. Se forem todos endereços anónimos, vou primeiro observar antes de avançar.

A sério, os minutos depois de definir os limites são sempre os mais desconfortáveis. Tenho sempre a sensação de que vou falhar o momento, mas já me aconteceu várias vezes ter escapado mesmo a um grande queda no último instante. Enfim, é devagar.