Останнім часом, дивлячись оновлення проектів, я помітив, що багато новачків (включно з моїм минулим я) при словах «пройшов аудит» або «відкритий код на GitHub» вважають, що все стабільно, насправді потрібно розглядати це детальніше.

На GitHub я зазвичай звертаю увагу на три речі: чи останній значущий коміт зроблений людиною, чи є обговорення/PR щодо ключових змін у контракті, і чи відповідає тег релізу та розгортання в мережі… інакше відкритий код може бути лише «для показу».

Також не варто дивитись лише на логотип на обкладинці звіту про аудит, перегляньте сторінку з висновками: які контракти охоплює цей аудит, чи є зауваження щодо «непройдених оновлень проксі/мульти-підпису», чи питання залишилися «вирішеними» або «прийняті ризики».
Оновлення мульти-підпису більш прямо: кілька ключів, хто їх має, чи є таймлок і екстрене призупинення, і якщо права дозволяють безпосередньо змінювати логіку — я вважаю це високоризикованим.

Останнім часом всі говорять про очікуване зниження ставок, індекс долара, ризикові активи то зростають, то падають… у такій ситуації, коли емоції коливаються, я навпаки хочу чітко зрозуміти, хто може змінювати код.
Наступного разу я планую намалювати невелику схему оновлень/прав на мульти-підпис, щоб легше порівнювати.
А ви зазвичай з яким пунктом починаєте, щоб оцінити довіру?