Только что дочитал один аудиторский отчёт… честно говоря, чем больше читаешь, тем сильнее ощущение, что такое “доверие/вероятность надёжности” — как будто смотришь прайс от мастера по ремонту. Нельзя просто смотреть, что он там написал: нужно смотреть, чего он не написал — например, упоминал ли он период блокировки при праве на апгрейд с мультиподписью (мультисигом), или в истории коммитов на GitHub вдруг не появилось ли целое созвездие “экстренных исправлений”.

Если “неофит” хочет разобраться, мой подход такой: сначала проверить, есть ли в контракте timelock (временная блокировка), затем посмотреть, “холодная” ли мультисиг-подпись (cold multisig) или “раундовая/ротационная” (轮值签, то есть по очереди). Проще говоря: разделены ли деньги и люди. Потом зайти на GitHub и пролистать их issues за последние несколько месяцев — не было ли шума из‑за какого‑то уязвимого места, которое вынесли и начали жёстко критиковать. Это как со “своего рода санитарным рейтингом” ресторана: одного лишь финального балла недостаточно — нужно понять, были ли жалобы.

Недавно всё время натыкаюсь на обсуждения того, что в доходах майнеров есть MEV: кто‑то считает, что если сортировщик (sequencer) непрозрачен, то это “теневые операции”. Впрочем, это тоже вполне понятно — как очередь за молочным чаем, где кто-то проталкивается “по знакомству” и ещё требует доплату, красиво назвав это “платой за приоритетное обслуживание”. Для розничных пользователей это действительно выглядит не очень хорошо. Но, как бы то ни было, мой принцип такой: если я не понимаю протокол — я сначала ставлю его в отложенные и не спешу заходить.