Encore tard dans la nuit, je reviens sur GitHub et les rapports d'audit, en gros pour donner aux débutants une impression brutale de « crédibilité » : d'abord vérifier s'ils mettent encore à jour sérieusement récemment, si leurs commits ne datent pas d'il y a trois mois, puis voir si dans Issues quelqu'un mentionne des pièges, si l'équipe répond ou pas, ne pas répondre c'est aussi acceptable mais ne pas faire semblant de rien. Ne pas se limiter aux grands logos sur la couverture du rapport d'audit, l'essentiel c'est de regarder « qu'est-ce qui a été découvert, comment c'est corrigé, y a-t-il une re-vérification », beaucoup de projets écrivent « corrigé » mais en comparant le code, on voit qu'ils n'ont pas touché le problème…

De plus, je suis particulièrement attentif à la mise à jour des multi-signatures, qui peut signer, combien de personnes peuvent signer, si on peut changer la logique à la volée. Les ponts cross-chain qui ont été piratés, on en voit beaucoup, et au final on se rend compte que ce n’est pas une question de technologie mystérieuse, mais que c’est une permission trop laxiste + des mises à jour trop rapides. Après l’annonce d’un prix anormal de l’oracle, tout le monde attend « confirmation », je suis d’accord, prendre son temps ce n’est pas une honte, au moins ne pas foncer sans savoir qui peut faire une mise à jour en un clic. C’est tout pour l’instant, je continue à veiller tard.