Почти наступил на грабли — чем больше думаю, тем страшнее…

Был один проект, который выглядел довольно шумно: на GitHub много звёзд, а на странице навешаны пачки отчётов об аудите — там фигурируют Trail of Bits, Certik и т.д. Я сначала хотел закинуть немного денег, чтобы просто поиграться, но по глупости полез дальше и проверил адреса их мультиподписи на апгрейды — и вот сюрприз: права owner там оказались 2/3 мультиподписью, но из трёх адресов два принадлежат одному и тому же человеку, просто с разными кошельками.

И чем это отличается от сингл-сигнатуры? Никакой разницы.

Только потом дошло: многие смотрят на аудиторские отчёты в режиме «есть» или «нет», но по-настоящему важно другое — в audit scope есть ли именно «логика апгрейда», и насколько реально распределены signer’ы у мультиподписи. Звёзды на GitHub тоже можно накрутить, но код уже полгода не обновлялся, коммиты — одни правки README.

Крупные переводы иногда трактуют как «умные деньги», а на деле это может быть просто тот же человек, сменивший кошелёк. В общем, теперь я лучше ещё пару раз перечитаю on-chain данные, чем буду верить этим «аудит пройден» на словах.