Recentemente, ao avaliar um projeto "confiável ou não confiável", eu acabo primeiro olhando o GitHub, não pela quantidade de estrelas, mas se há alguém constantemente corrigindo bugs, respondendo a issues, se as atualizações de versão têm explicações claras. Aquele que fica seis meses sem movimento, e quando atualiza pede para você migrar seu dinheiro, me faz ficar tenso.

Relatórios de auditoria também não devem ser usados como amuletos de proteção, o mais importante é verificar o que eles cobriram ou não, quais problemas são "conhecidos mas aceitos", e se no final as mudanças foram feitas ou não. O mais crucial ainda é a questão de privilégios de atualização: quem tem as chaves múltiplas, qual é o nível de segurança, pode alterar o contrato à vontade. Em resumo, o dinheiro está na cadeia, o controle está na mão.

Nos últimos dias, as discussões sobre moedas de privacidade/mescladores estão acaloradas, na verdade é a mesma questão: onde está a fronteira, quem decide. Quanto mais emocionalmente dividido o debate fica, mais quero colocar a mão na parte "verificável", ser mais frio, mais mecânico, por enquanto é assim.