Каждый раз, когда вижу, как кто-то хвалится: «Мы провели аудит, GitHub открыт, это точно безопасно», — мне хочется смеяться. Вся эта штука с аудиторским отчётом по сути как справка о медосмотре: то, что на осмотре ты был в норме, не значит, что завтра ты не можешь резко умереть. Репозиторий на GitHub тем более: как бы красиво ни была написана кодовая база, при смене ключей, когда управление мультисигом переходит в другие руки, или если в контракте спрятан бэкдор, ты этого в принципе не увидишь.

Недавно новые L1/L2 стали раздавать стимулы, чтобы нарастить TVL, и старые пользователи ворчат: «копаем-выкапываем, потом продают». Впрочем, для новичков важнее смотреть не на цифры TVL, а на список адресов обновляемого мультисиг-контроля и распределение прав. Это как аренда: хозяин говорит, что квартира «сделана под ключ», но тебе нужно проверить, есть ли в договоре пункт «можем в любой момент поднять аренду». Кто владеет мультисигом — сам проект или сообщество? Если всего 3 адреса, и из них 2 относятся к одной и той же команде, то эту квартиру в любой момент могут разобрать.

Вообще, мои собственные привычки такие: сначала смотрю историю коммитов в GitHub — не появился ли внезапно в контрактах какой-нибудь «функционал экстренного вывода средств»; затем читаю аудиторский отчёт — не проигнорировали ли «известные проблемы»; и в конце проверяю порог подписей в мультисиге и список владельцев. Не верьте никаким «всегда консенсус» — ликвидность и есть главный родитель.