Gần đây luôn có người hỏi tôi: GitHub, báo cáo kiểm toán, nâng cấp multi-signature này nọ, những người mới bắt đầu làm sao để đánh giá “đáng tin cậy hay không”. Tôi nghĩ đừng vội xem ai đang khoe khoang kể chuyện (đặc biệt bây giờ AI Agent, giao dịch tự động, nhiều người nói chuyện rối rắm), trước tiên hãy xem dự án có rõ ràng về “quyền sửa đổi mã nguồn” không: có thể nâng cấp không? Ai có thể nhấn nút? Cần bao nhiêu người đồng ý? Những điều này mơ hồ, tôi sẽ bỏ qua luôn.

Báo cáo kiểm toán cũng đừng chỉ nhìn bìa logo và trang kết luận, hãy chọn hai đoạn xem nó có thực sự đề cập đến các trường hợp biên, quyền hạn phân chia hay không, hay chỉ toàn là “không phát hiện vấn đề lớn” kiểu đó. Còn GitHub, cập nhật thường xuyên không đồng nghĩa an toàn, nhưng lâu ngày không động đậy + đột nhiên thay đổi lớn cũng khá đáng sợ. Dù sao thì cách của tôi là: Thà chậm rãi tương tác còn hơn để ví như nơi thử nghiệm.