Я чуть не сам себя напугал: случайно скопировал не тот адрес — один перевод мог почти уйти в никуда. К счастью, в самом конце всё “зависло” и не прошло, отделался лёгким испугом. Но эта история заставила меня поговорить о GitHub, аудиторских отчётах и обновлении мультисигов — как вообще новичку смотреть на «доверие»?

Честно говоря, те репозитории с кодом я почти не понимаю, а то, что на GitHub много звёзд, совсем не значит, что проект безопасен. Мой самый тупой, но рабочий способ такой: сначала посмотреть, вывешивают ли проектные команды аудиторские отчёты, но не ограничиваться обложкой — нужно пролистать до раздела «раскрытие рисков» и проверить, признают ли они сами, что у них есть какие-то проблемы. И ещё — это апгрейд мультисигов: если у команды проекта есть контроль над несколькими кошельками и они могут менять контракт, то даже самый хороший аудит ничего не решит.

В последнее время постоянно вижу слова вроде «социальный майнинг» и «токены для фанатов» — прям запах того, что внимание используют как способ майнинга. Но по правде говоря, многие проекты ради хайпа делают ончейн-управление почти как игру: мультисиг обновляется за минуты, и правила тут же меняются. Так что эта «доверие» — по мне — хуже, чем просто проверить, есть ли на их GitHub за последние три месяца хоть какая-то реальная работа.

В итоге мой опыт такой: не верь белым книгам, не верь KOL — просто пролистай, когда в репозитории в последний раз обновляли что-то, и посмотри число подписей у мультисигов. Этим можно отсеять большую часть пустышек.