En regardant si un projet est « fiable ou non », je ne regarde généralement pas d’abord le PPT, mais GitHub et l’audit. GitHub ne consiste pas à regarder le nombre d’étoiles (ce qui peut aussi être truqué), mais à vérifier : si le dépôt principal est régulièrement examiné, s’il y a des discussions sérieuses dans les issues, si les PR liés aux mises à jour expliquent « pourquoi ces modifications ». Ne vous laissez pas non plus impressionner par le logo dans le rapport d’audit, concentrez-vous sur la présence de corrections claires pour les problèmes détectés, en particulier dans la partie « permissions/mise à jour ».

Les signatures multiples pour la mise à jour sont encore plus cruciales : quelques clés, qui les détient, s’il y a un timelock pour retarder l’effet, si on peut suspendre d’urgence mais sans pouvoir modifier la logique à la légère. En clair, moins il y a de personnes capables de modifier le code, plus c’est transparent, et plus on peut dormir sur ses deux oreilles. Récemment, la controverse autour des crypto-monnaies de confidentialité / mixeurs est très animée, mais en réalité c’est pareil : pour les éléments à la frontière floue, tout repose finalement sur les permissions et les processus pour assurer la sécurité.

De mon côté, je vais d’abord nettoyer les autorisations de quelques vieux contrats, pour éviter qu’un jour une mise à jour ne me surprenne encore en plein rêve.