Últimamente he visto a alguien preguntar “¿GitHub de código abierto + auditoría = seguro?”. La verdad es que solo son puntos a favor, no un escudo protector. Los principiantes quieren ver la credibilidad, pero creo que primero no hay que fijarse en las estrellas y la popularidad en Twitter, sino en revisar los registros de commits para ver si siempre hay alguien manteniendo, si los cambios importantes tienen explicación, si en los issues alguien reportó vulnerabilidades y fueron tomadas en serio; tampoco hay que limitarse a mirar el “aprobado” en el informe de auditoría, sino centrarse en si se corrigieron los riesgos altos, si hubo una segunda revisión, y cómo se verificó la corrección. En cuanto a la actualización de la firma múltiple, decir que “es gobernanza descentralizada” suena bien, pero los detalles como si los permisos son los mínimos necesarios, quién puede hacer pausas de emergencia, si los firmantes son un grupo de personas con diferentes alias, esas cosas son las que pueden ser trampas. Últimamente, con la tendencia de regulación y aumento de impuestos, la gente se vuelve muy sensible a las expectativas de entrada y salida de fondos, y cuanto más ansiosos, más fácil es que se consuelen con las palabras “auditado”… En fin, yo sigo con mi viejo hábito: dividir en carteras, ir despacio, no creer en historias perfectas. Me pongo a trabajar.