В последнее время посмотрел несколько проектов и между делом пролистал их GitHub и отчёты аудита. Скажу честно: раньше я тоже был ленив — думал, что «если код открыт, то этого достаточно». Но потом выяснилось, что просто наличия аудита мало — и вообще, одного факта, что «есть отчёт», недостаточно.

Ключевое — смотреть на две вещи: во‑первых, в отчёте аудита есть ли «известные риски» или «рекомендации по исправлению», которые так и не были внедрены — к этому нужно относиться настороженно; во‑вторых, конфигурация мультисигов: кто управляет, сколько человек подписывает и какова длительность блокировки/lock‑up. Это важнее, чем движение цены.

История с кражами через кроссчейн‑мосты — уже после факта, по ончейн‑транзакциям видно, что мультисиг‑адрес заранее поменяли на подозрительный, просто никто не обратил внимание. И с эпизодом, связанным с аномальными котировками оракулов, тоже: если подождать подтверждений подольше, можно избежать довольно многих проблем.

Короче, теперь у меня выработалась привычка: прежде чем запускать новый пул или новую стратегию, я сначала просматриваю коммиты на GitHub и смотрю, не меняли ли в последнее время код, связанный с правами доступа. Лучше потратить время сейчас, чем потом жалеть, когда уже «отрезали» средства.