Gần đây xem dự án “tự chứng minh trong sạch”, tôi thường bắt đầu từ GitHub: không phải xem số sao nhiều hay ít, mà là xem tần suất commit, liệu các thay đổi có tập trung vào một người hay không, trong issue có ai hỏi bug mà vẫn có người trả lời không. Sau đó xem báo cáo kiểm toán, trọng tâm không phải là “đạt/không đạt”, mà là các mục rủi ro cao được sửa như thế nào, có ghi nhận kiểm tra lại sau không; những cái chưa sửa đã đưa lên mạng, tôi sẽ trực tiếp đặt dấu hỏi. Việc nâng cấp multi-sign cũng đừng chỉ nhìn vào “nhiều chữ ký” đó, ai là người ký, ngưỡng là bao nhiêu, có timelock (thời gian để bạn rút lui) hay không mới quan trọng hơn. Gần đây các hoạt động khai thác xã hội, token fan lại nóng trở lại, nói chú ý đến sự chú ý chính là khai thác, dù sao tôi cũng sẽ hỏi trước: hợp đồng và quyền nâng cấp cuối cùng thuộc về ai, đừng để cuối cùng khai thác là niềm tin của chính mình.