Недавно смотрел, как один протокол собирается обновить мультиподписку, в группе много людей спрашивали «Это надежно?». Я тоже не эксперт, поэтому по привычке проверяю три вещи: GitHub, отчет об аудите и как именно меняется мультиподписка.

На GitHub я не смотрю на количество звезд, в основном обращаю внимание, есть ли долгосрочная поддержка, важные изменения сопровождаются ли приличными комментариями, есть ли ответы на возникающие вопросы. Меня немного настораживают те, кто выкладывает сразу кучу кода перед крупным релизом.

Отчет об аудите тоже не стоит рассматривать только по обложке «прошел аудит», для меня важнее: исправлены ли действительно опасные уязвимости, есть ли двойная проверка способов их устранения, не исключены ли из области аудита самые уязвимые модули… Короче говоря, отчет — это инструмент для поиска «чего не заметили» и «насколько поверхностно сделали».

Обновление мультиподписки — это еще более практично: кто подписывает, есть ли независимость у подписантов, каков порог для подписей, есть ли таймлоки и публичный процесс внесения изменений. Недавно снова украли мост через цепочку, и все начали ждать подтверждения — так называемый консенсус. Сейчас я предпочитаю идти чуть медленнее, но чтобы изменения были видны в цепочке, чтобы их можно было проследить, иначе остается только молиться.