Recientemente, un amigo me preguntó: ¿Qué hay que mirar en GitHub, informes de auditoría, y actualizaciones de firmas múltiples para considerarlos “confiables”? La verdad, no esperes entender toda la verdad con una sola mirada, normalmente me fijo en algunos puntos muy básicos.

Primero, mira GitHub: ¿hay alguien que mueva o cambie cosas a largo plazo?, ¿los cambios coinciden con la versión en la cadena?, ¿hay esa sensación de “cambio masivo justo antes del lanzamiento”? Los informes de auditoría tampoco deben ser tomados solo por marcas reconocidas, lo importante es verificar si han corregido los problemas de alto riesgo y si las explicaciones de las soluciones están claras, lo peor es que pasen por alto riesgos conocidos diciendo que “ya se aceptaron”.

La actualización de firmas múltiples es más práctica: ¿quién firma?, ¿cuántos son?, ¿hay un timelock (para darte tiempo de reaccionar)?, ¿los permisos son tan amplios que puedan cambiar las reglas directamente?

Últimamente, la regulación se ha ido ajustando y relajando, y las expectativas de entrada y salida de fondos cambian, por lo que los proyectos tienden a usar “actualizaciones urgentes” como excusa. En fin, cuando veo la palabra “urgente”, primero me detengo, reviso más los permisos y los procesos.