Anoche en el grupo volvieron a discutir si este proyecto es confiable o no,

Yo trataba de mediar con palabras, mientras en silencio abría GitHub…
En pocas palabras, los novatos no deben apresurarse a mirar qué tan avanzado está el código,
Primero deben verificar si hay “huellas de vida”: si hay contribuciones continuas recientemente,
si en los issues hay respuestas serias, si después de un problema hay una revisión,
no como esa persona que hace medio año hizo su última actualización y finge estar tranquilo.

Tampoco confíes ciegamente en el informe de auditoría como si fuera un amuleto,
lo importante es verificar: si la auditoría es de la versión más reciente,
si los problemas han sido corregidos, y si después de corregirlos se revisó de nuevo;
lo que más da miedo son esas palabras “auditoría pasada” como si fuera un pase libre,
al revisar los detalles, todo muestra “riesgo bajo no corregido (aceptando el riesgo)”…
sí, aceptando el riesgo, pero de quién, tú sabes.

Para la actualización de la firma múltiple, me fijo más en “quién puede actuar”:
si los firmantes están dispersos, si hay un bloqueo de tiempo (para darte tiempo de reaccionar),
si la lista de permisos no se puede revisar de un vistazo.
Recientemente, las carteras hardware están agotadas y los enlaces de phishing vuelan por todas partes,
no esperes ser más rápido que los hackers…
Ahora, cuando veo “haz clic aquí para recibir un airdrop”, lo tomo como un juego de mesa:
quien haga clic, invita.