Trong nhóm đã lặn lội lâu rồi, vẫn không nhịn được chen vào một câu: Người mới muốn xem dự án “có đáng tin cậy” hay không, đừng chỉ chăm chăm nhìn vài trang chụp màn hình báo cáo kiểm toán. Kiểm toán chỉ có thể nói “phiên bản mã nguồn đó lúc đó có khả năng không có lỗi rõ ràng”, nhưng hợp đồng có thể nâng cấp hay không, chìa khóa nâng cấp nằm trong tay ai, mới là điều tôi quan tâm nhất với kiểu thử độc này.

Tôi chỉ xem trên GitHub ba thứ: cập nhật có đột ngột ngưng rồi đột ngột tăng tốc không, có nhiều đoạn sao chép dán mà không giải thích không, có ai review các thay đổi quan trọng không. Rồi xem việc nâng cấp đa chữ ký: vài chìa khóa, mức độ yêu cầu chữ ký bao nhiêu, ai ký (ít nhất đừng toàn là tài khoản mới ẩn danh), tốt nhất còn có tính năng trì hoãn thực thi, nếu không hôm nay kiểm toán xong, ngày mai nâng cấp là đổi mặt ngay… Dù sao tôi cũng chấp nhận rủi ro.

Tiện thể, gần đây mọi người chê trách người xác thực ăn MEV, sắp xếp không công bằng, tôi nghe vậy lại càng muốn xem “ai có thể thay đổi quy tắc”. Nói thẳng ra: Dù mã nguồn viết đẹp đến đâu, quyền hạn nằm trong tay ít người, thì các nhà đầu tư nhỏ lẻ chỉ còn biết cầu trời phù hộ. Thế thôi.