Nói thật, số lượng sao trên GitHub bây giờ không nói lên được gì. Tôi đã thấy rất nhiều báo cáo audit v2 viết cho đẹp nhưng việc nâng cấp multi-sig lại chỉ do 2 đến 3 người nắm quyền. Cái thực sự cần xem là có audit bên thứ ba không, có cơ chế time lock không, và việc thay đổi tham số trong multi-sig có phải được tất cả mọi người bỏ phiếu thông qua không. Gần đây, khi ví phần cứng bị đứt hàng, các link lừa đảo thì một đợt nối tiếp một đợt; tôi lại thấy trong giai đoạn này ý thức bảo mật còn quan trọng hơn cả việc mua một chiếc ví mới. Lưu ảnh chụp màn hình theo kiểu thói quen “điểm đến là thôi” như một meme, nhưng dù sao vẫn tốt hơn nhiều so với việc thật sự bị sập. Những lỗ hổng được gắn mác “critical” và “medium” trong báo cáo audit, thật ra phần lớn là các chiêu trò đã biết; người biết chút ngôn ngữ đời thường cũng có thể nhìn ra đường đi nước bước, đừng coi như lời thánh chỉ. Tóm lại, với người mới thì cứ tập trung vào thành viên multi-sig và quyền nâng cấp trước, đừng để phía dự án mượn cờ “đã được audit” để âm thầm sửa hợp đồng.