Récemment, j’ai vu pas mal de gens brandir des rapports d’audit comme un talisman, alors qu’en réalité, ce n’est pas si simple. Sur GitHub, ces projets : se contenter de regarder s’ils ont beaucoup d’étoiles ne sert à rien, il faut plutôt aller voir les relevés des commits récents, surtout ceux liés aux contrats. Certains projets font un audit, puis après coup, modifient à la dérobée quelques versions de code, en changeant des paramètres, voire la logique des autorisations : dans ce cas, l’audit précédent devient pour ainsi dire caduc.

Mettre à jour l’adresse multi-signature et la liste des signataires : aujourd’hui beaucoup de projets les publient, mais est-ce que tu as vraiment pris la peine de vérifier une à une sur Etherscan ? De mon côté, à chaque fois que je regarde, je finis souvent par voir des incohérences entre la chaîne et ce qui est écrit dans la doc, et ça me met toujours en alerte.

Et puis, en ce moment, il y a aussi ce genre de polémique qui force le lien entre les flux de capitaux liés aux ETF et les hausses ou baisses de prix. La démarche est un peu paresseuse. L’argent donne effectivement le ton, mais par rapport aux comportements réels on-chain (par exemple la profondeur des transactions, l’évolution du slippage), on a parfois plus intérêt à croire ces derniers. Pour un débutant, pour juger la « fiabilité » d’un projet : plutôt que de suivre les slogans « bon » ou « mauvais » à la mode, le mieux est de commencer par aller fouiller soi-même les issues et les différences des rapports d’audit sur GitHub, puis de comparer face à l’adresse multi-signature pour voir s’il y a eu récemment des mouvements anormaux de gros montants. Pour ma part, je préfère gagner moins plutôt que de tomber dans un piège sans comprendre.