Tôi cảm thấy nhiều người mới nhìn vào “độ tin cậy” chỉ chú ý đến logo kiểm toán, thực ra không đủ đâu. Trước tiên hãy xem qua các commit trên GitHub: có ai duy trì lâu dài không, issue có ai trả lời không, các thay đổi quan trọng có phải là một lần cập nhật lớn đột ngột… Tôi sẽ tiện thể so sánh địa chỉ hợp đồng và thẻ repo, ít nhất đừng để xảy ra chuyện “trên chuỗi là v1.2, còn mã bạn xem là v1.0” thật ngượng ngùng.

Báo cáo kiểm toán cũng đừng chỉ xem trang kết luận, hãy kéo xuống dưới: phạm vi có bao gồm nâng cấp hợp đồng/đường dẫn/quyền hạn không, phát hiện ra vấn đề là “đã sửa” hay “chấp nhận rủi ro”, việc sửa có đi kèm commit không. Còn có nâng cấp multi-signature, trọng tâm không phải là mấy con số đẹp, mà là ai ký, có thể đổi người ký không, có có khóa thời gian không, quyền hạn quá lớn thì sao, nói rõ ra là có thể thay đổi quy tắc bất cứ lúc nào.

Gần đây module hóa, tầng DA được nhắc đến rất nhiều, nhà phát triển vui vẻ, người dùng thì mặt mày hoang mang… Dù sao tôi cũng chỉ theo bộ thủ này để lọc qua một lượt, ít nhất đừng bị “kể chuyện” dẫn dắt. Đừng hỏi về bí mật, hỏi là phải tái hiện lại.