J'ai essayé une fois, en jouant le rôle d'un novice pour "vérifier" un projet qui nécessite une mise à jour de contrat et une multi-signature, et j'ai découvert que ce qui est le plus simple n'est pas de regarder ce qu'il prétend, mais de voir s'il laisse des traces. Je commence par vérifier l'historique des commits sur GitHub : est-ce qu'un tas de code a été soudainement déployé, est-ce qu'il n'y a qu'une seule personne qui pousse frénétiquement, y a-t-il des gens qui signalent des failles de sécurité dans les issues mais personne ne répond... ces détails sont assez révélateurs. Le rapport d'audit ne doit pas se limiter à "passé / pas de problème majeur", je regarde si les risques élevés ont été clairement corrigés, si une nouvelle vérification a été faite après la correction, de toute façon, ce genre de "saché, on en reparlera plus tard" me met un peu mal à l'aise. En ce qui concerne la multi-signature, c'est encore plus direct : les signataires sont-ils dispersés, le seuil est-il raisonnable, y a-t-il des retards de mise à jour / verrouillage temporel, sinon en gros c'est "plusieurs personnes appuyant sur un bouton", et en cas de problème, ça peut être modifié en un clin d'œil. Récemment, les portefeuilles matériels sont en rupture de stock, et les liens de phishing pullulent, maintenant, chaque fois que je clique sur "mettre à jour / signer", je m'arrête trois secondes d'abord, je préfère manquer une opportunité qu'à minuit réaliser que c'était ma propre erreur.