Tôi hiện tại xem dự án "độ tin cậy" chủ yếu tập trung vào ba thứ: GitHub, báo cáo kiểm toán, nâng cấp/đa chữ ký.

GitHub đừng chỉ nhìn số sao, trước tiên xem gần đây có còn hoạt động không, có ai trả lời issue không, những thay đổi quan trọng có phải là một đống merge tạm thời… Những dự án không cập nhật nửa năm rồi đột nhiên thay đổi lớn, tôi sẽ rút quyền trước đã.
Báo cáo kiểm toán cũng đừng xem như tấm vé thoát hiểm, trọng tâm là xem "đã sửa/ chưa sửa" và phạm vi, nhiều báo cáo chỉ kiểm tra một phần hợp đồng, logic nâng cấp còn dễ bị bỏ sót nhất.

Nâng cấp đa chữ ký thì thực tế hơn: ai quản lý chìa khóa, ngưỡng ký bao nhiêu, có timelock không.
Có thể thay đổi thực hiện bất cứ lúc nào mà không có độ trễ, nghĩa là bạn giao ví cho người khác giữ.

Vậy làm thế nào khi công cụ gắn nhãn trên chuỗi chậm hoặc dễ gây hiểu lầm?
Thì đừng chỉ tin vào nhãn, tự kiểm tra danh sách ủy quyền và quyền hạn hợp đồng, ít nhất cũng có trong đầu rõ ràng.

Dù sao thói quen của tôi là: hợp đồng mới thì nhỏ lẻ, hạn chế quyền trước, thấy quyền vô hạn thì muốn rút, thà phiền phức chút.
Chỉ vậy thôi.