最近看几个项目，顺手翻了翻它们的 GitHub 和审计报告，说实话，以前我也懒，觉得「代码开源了就行」，但后来发现，光看有没有审计报告根本不够。

关键得看两点：一是审计报告里有没有写「已知风险」或者「建议修复」但没改的，这种得留个心眼；二是升级多签的配置，谁在管、几个人签、锁定期多长，这个比币价涨跌还重要。

最近跨链桥被盗那事，其实事后看链上交易记录，多签地址早就被改成可疑地址了，只是没人注意。预言机异常报价那波也是，等确认的时间长一点，反而能避开不少坑。

反正我现在养成习惯了，新池子或者新策略上线前，先翻翻 GitHub 的 commit 记录，看最近有没有改权限相关的代码。慢一点，总比被割了再后悔强。