Hôm nay nói vài điều thực tế. Nhiều bạn hỏi tôi: Nhìn một dự án có an toàn hay không, GitHub có sao, báo cáo kiểm toán được đăng lên, địa chỉ multisig bày sẵn ở đó—như vậy có phải là đã đáng tin?

**Tín hiệu** thực ra không nằm ở mấy thứ bề ngoài đó.

Với mã trên GitHub, tôi thường xem trước **tần suất commit** và **cách xử lý issue**. Nếu dự án vài tháng không cập nhật, dù star có nhiều đến đâu thì cũng có thể chỉ là “xác sống”; ngược lại sửa mỗi ngày nhưng không bao giờ trả lời thắc mắc của cộng đồng thì chất lượng mã cũng đáng nghi. Còn báo cáo kiểm toán, nói thẳng là phải xem **quy mô của bên kiểm toán** và **phạm vi kiểm toán**—nếu chỉ kiểm logic chứ không kiểm quyền nâng cấp thì khả năng trong multisig ví có cài cài cửa hậu. Hiện giờ ví phần cứng cũng đã khan hàng, mọi người bắt đầu nâng cao nhận thức về an toàn, nhưng đừng chỉ nhìn thiết bị; thứ nguy hiểm nhất lại nằm ở **multisig nâng cấp trong hợp đồng**—đó mới là **tín hiệu**.

Địa chỉ multisig, các bên tham gia, ngưỡng bỏ phiếu—những thứ này đều tra được trên chuỗi. Đừng chỉ nhìn “có”, mà phải xem “được dùng như thế nào”. Multisig không ai để ý giám sát thì về cơ bản giống hệt single-sign. Dù sao tôi cũng quen quét qua thiết kế quản trị trước, rồi mới quyết định có nên đụng vào hay không. An toàn thực sự nằm trong những chi tiết như vậy, chứ không phải những đường giá hay lời kêu gọi “hô mua/hô bán” từ một vị đại sư nào đó có thể mang lại.