Недавно смотрел обновления проектов, заметил, что многие новички (в том числе и я раньше) при услышании «проходное аудирование» или «открытый исходный код на GitHub» сразу считают, что всё в порядке, на самом деле нужно разбирать подробнее.

На GitHub я обычно обращаю внимание на три вещи: последний значимый коммит — сделан ли он человеком, есть ли обсуждения/PR по важным изменениям в контракте, а также соответствие тегов релиза и развертывания в блокчейне… иначе открытый исходный код может быть только «для вида».

Не стоит смотреть только на логотип на обложке аудиторского отчёта, перелистывая страницу с выводами: какие контракты охвачены, есть ли примечания о «неаудитированных обновлениях прокси/мультиподписей», а также — исправлены ли оставшиеся проблемы или риск принят.
Обновление мультиподписей — ещё проще: сколько ключей, кто ими управляет, есть ли таймлок и возможность экстренной остановки, а если есть полномочия прямо менять логику — я считаю это высоким риском.

Недавно все обсуждают ожидания снижения ставок, индекс доллара, рисковые активы то растут, то падают… чем больше такие эмоции колыхаются, тем больше мне хочется понять, кто именно может менять код.
В следующий раз я планирую нарисовать небольшую схему с типичными правами на обновление/мультиподписи для удобства сравнения, а вы обычно с какого пункта начинаете, чтобы оценить доверие?