Vừa rồi lục lại mấy ghi chú cũ hồi trước, thấy bài tổng kết về việc dự án “đã được kiểm toán” từ năm 2017 sau đó bỏ trốn… Bây giờ mỗi lần mở một dự án GitHub mới, mình đều sẽ xem trước tần suất commit và chất lượng thảo luận issue, chứ không chỉ nhìn số lượng sao (stars). Nói thật, báo cáo kiểm toán bây giờ cũng vậy: nhiều người mới chỉ nhìn mấy dòng kết luận kiểu “không phát hiện lỗ hổng nghiêm trọng” rồi lao vào, nhưng phần nội dung chính với các giả định, phạm vi kiểm thử, và cả những chỗ “n/a” mới thực sự là câu chuyện đáng sợ. Nâng cấp đa chữ ký cũng càng đừng nói—danh sách người ký là vài KOL quen mặt hay là các địa chỉ ẩn danh, khác biệt quá lớn.

Gần đây mấy dự án “tái thế chấp” và “chia sẻ bảo mật” lại đang cãi nhau dữ dội, rằng việc chồng lợi nhuận lên nhau là “lồng đồ” (套娃). Mình thì nghĩ, nếu bản thân tài sản nền tảng vốn không minh bạch, thì chồng thêm bao nhiêu lớp cũng chỉ là lâu đài trên không. Xem một vòng thì nói thẳng: niềm tin không được tạo ra bằng cách hô “chúng tôi đã được kiểm toán” rồi chất đống bằng chứng, mà là nhờ việc sẵn sàng đem mọi lần commit trên GitHub, và từng chú thích trong báo cáo kiểm toán ra cho người khác xem kỹ.

Thứ mình sợ bỏ lỡ nhất, thật ra không phải một cơ hội nhân trăm lần nào đó, mà là việc chính mình đã thấy cảnh báo trong code rồi vẫn cố thuyết phục bản thân rằng đó chỉ là “một sự kiện ít xảy ra”.