Нещодавно знову хтось запитав: «GitHub з відкритим кодом + аудит = стабільно?»

По суті, це лише додаткові плюси, а не захисний амулет.
Новачки хочуть побачити довіру, я вважаю, що спершу не варто зациклюватися на зірках і популярності в Твіттері,
замість цього подивіться на історію комітів — чи постійно хтось підтримує проект,
чи є пояснення до ключових змін, чи хтось у issue повідомляв про вразливості і чи їх серйозно опрацьовували;
аудиторські звіти не обов’язково дивитись лише на обкладинку з написом «пройдено»,
зосередьтеся на тому, чи виправлені високоризикові вразливості, чи пройшли повторний аудит,
як перевіряли виправлення.
Що стосується оновлення мульти-підпису, слова «децентралізоване управління» звучать гарно,
але чи мінімізовані права, хто може тимчасово зупинити систему, чи підписанти — це одна й та сама група людей під різними ідентифікаторами, —
ці деталі і є пастками.
Останнім часом посилилися розмови про відповідність і оподаткування,
і очікування щодо входу/виходу коштів стають дуже чутливими,
чим більше хвилюєшся, тим легше тебе заспокоїть словами «пройшов аудит»…
Я все одно звик: розподіляти активи, робити все повільніше, не вірити ідеальним історіям.
Я йду працювати.