最近看幾個專案，順手翻了翻它們的 GitHub 和審計報告，說實話，過去我也懶，覺得「程式碼開源就行」，但後來發現，光看有沒有審計報告根本不夠。

關鍵得看兩點：一是審計報告裡有沒有寫「已知風險」或「建議修復」但卻沒有改的，這種得留個心眼；二是升級多簽的設定，誰在管、幾個人簽、鎖定期多長，這個比幣價漲跌還重要。

最近跨鏈橋被盜那件事，其實事後看鏈上交易記錄，多簽地址早就被改成可疑地址了，只是沒人注意。預言機異常報價那波也是，等確認的時間長一點，反而能避開不少坑。

反正我現在養成習慣了，新池子或新策略上線之前，先翻翻 GitHub 的 commit 記錄，看最近有沒有改權限相關的程式碼。慢一點，總比被割了再後悔強。