Gần đây tôi xem qua một vài dự án, tiện tay lướt qua GitHub và các báo cáo kiểm toán của chúng. Nói thật, trước đây tôi cũng lười, nghĩ rằng “mã nguồn đã công khai là được”. Nhưng sau đó tôi phát hiện ra, chỉ nhìn xem có báo cáo kiểm toán hay không thì vẫn chưa đủ.

Quan trọng là phải xem hai điểm: thứ nhất, trong báo cáo kiểm toán có ghi “rủi ro đã biết” hoặc “khuyến nghị sửa” nhưng lại không được khắc phục hay không—trường hợp này cần hết sức cảnh giác; thứ hai là cấu hình nâng cấp multisig: ai là người quản lý, có mấy người ký, và thời gian khóa (lock-up) dài bao lâu. Cái này còn quan trọng hơn cả việc giá coin lên xuống.

Những vụ cầu nối liên chuỗi bị hack gần đây, thực ra khi nhìn lại thì theo dõi lịch sử giao dịch on-chain, các địa chỉ multisig đã sớm được đổi sang địa chỉ đáng ngờ rồi, chỉ là không ai để ý. Đợt bất thường trong báo giá của oracle cũng vậy—chờ thời gian xác nhận lâu hơn một chút thì ngược lại có thể tránh được không ít rủi ro.

Tóm lại, hiện tại tôi đã hình thành thói quen. Trước khi một pool mới hoặc một chiến lược mới được ra mắt, tôi sẽ lật qua lịch sử commit trên GitHub, xem gần đây có thay đổi mã liên quan đến quyền hay không. Làm chậm một chút thì vẫn hơn là bị “quỵt” xong rồi mới hối hận.