昨晚グループチャットでまた「このプロジェクトは本当に信頼できるのか」と喧嘩になっていた、私は口で仲裁しながら黙ってGitHubを開いた…要するに初心者はコードの高度さに急がず、まず「生きている痕跡」があるかを見るべき：最近継続的にコミットしているか、issueに真剣に返信しているか、問題が解決された後に振り返りがあるか、半年以上前の最後の更新で平静を装っていないか。

監査報告書も護身符として扱わず、重点を見るべきは：監査が最新版かどうか、問題が修正されているか、修正後に再確認されているか；最も怖いのは「監査済み」の四文字を免罪符として使い、詳細を見ると「低危険未修復（リスク受容）」…うん、誰のリスクを受け入れているのか理解している。

マルチシグのアップグレードについては、「誰が操作できるか」の方を重視：署名者は分散しているか、タイムロック（反応時間を与えるタイプ）があるか、権限リストは一目で見きれないほど多いか。最近ハードウェアウォレットも品薄で、フィッシングリンクも氾濫している、ハッカーより自分の手の速さを期待しない方がいい…今見たら「ここをクリックしてエアドロップを受け取る」なんて、酒席のミニゲームみたいなもの：誰がクリックしてもおごる。