Vừa rồi tôi thấy có người hỏi nên xem mục gì trên GitHub của dự án, và làm sao để biết báo cáo audit có phải là “bị bơm” hay không. Thật ra khá đơn giản—không có báo cáo audit cho các hạng mục như nâng cấp đa chữ ký có tính chất tập trung, thì cơ bản xem như “ký cho có”.

Nói thẳng ra, trước khi đọc báo cáo audit tôi nhất định sẽ kiểm tra ngưỡng của địa chỉ đa chữ ký và các bên tham gia có công khai minh bạch hay không. Nếu quyền nâng cấp nằm ở kịch bản 1/1 hoặc do chỉ hai địa chỉ nắm giữ, thì đó chỉ là đổi cách làm để cắt ví thôi. GitHub cần xem thời điểm commit gần nhất và tần suất cập nhật; nếu giống một vũng nước tù chết, cơ bản đừng đụng.

Dạo này nhiều nơi tung tin về phần thưởng testnet và kỳ vọng điểm số bay đầy trời, mọi người cũng đoán liệu dự án lên mainnet có phát hành token hay không. Thực ra so với mấy chuyện đó, tôi quan tâm hơn là trong đa chữ ký nâng cấp có hay không người dùng phổ thông hoặc các tổ chức trong ngành. Có thì ít nhất khi triển khai lúc chạy vẫn có người lên tiếng.

“Thứ tôi sợ bỏ lỡ” thật ra không phải là cơ hội, mà là trước khi bỏ chạy không có ai nhắc tôi.