Últimamente he estado esperando: esperar la confirmación, esperar la devolución de llamada, esperar a tenerlo claro... Cuanto más espero, más siento que, para un principiante, juzgar si un proyecto es "confiable" no se debe basar solo en las velas, primero hay que mirar tres cosas: GitHub, informes de auditoría, y actualizaciones de firmas múltiples.

No soy experto en código en GitHub, solo miro si las actualizaciones están activas: frecuencia de commits, si hay respuestas en los issues, si las modificaciones clave tienen explicación. En los informes de auditoría, no solo mires las palabras "auditado", revisa las conclusiones y los riesgos altos, mira si están "resueltos" o "aceptar el riesgo", y también si la auditoría fue realizada por las firmas tradicionales o si después de la última actualización se revisó nuevamente.

La actualización de firmas múltiples es aún más importante: quién puede mover el contrato, cuántas personas firman, si el umbral es alto, si hay retrasos o períodos de anuncio. Últimamente, todos se quejan de que los mineros/verificadores consumen MEV, que el ordenamiento no es justo, en realidad, se trata de si las reglas pueden ser modificadas fácilmente por unos pocos. Ahora, cuando veo permisos demasiado concentrados, primero reduzco el alcance, prefiero ganar menos que no poder dormir tranquilo. Así estamos por ahora.