Eu vejo o projeto "confiável ou não confiável", agora parece mais um hábito, não uma habilidade especial. No GitHub, não olho para o número de estrelas, primeiro verifico os commits: se há mudanças contínuas, se há respostas nas issues, se as mudanças importantes têm explicação; depois vejo o relatório de auditoria, o foco não é "aprovado", mas se o escopo foi bem definido, se problemas conhecidos foram deixados de lado, se a equipe realmente fez melhorias posteriormente. Para atualizar a multi-assinatura, também não basta ouvir "multi-assinatura é segura", é preciso verificar quem assina, qual é o limite de assinatura, se é possível trocar a lógica unilateralmente. Recentemente, a discussão sobre moedas de privacidade/mescladores ficou bastante acalorada, e, para ser sincero, quando os limites de conformidade não estão claros, é ainda mais importante monitorar as permissões e o caminho de atualização, senão você pensa que é uma questão técnica, mas acaba sendo uma governança que pode ser alterada livremente. De qualquer forma, eu prefiro ir devagar, passar mais páginas de registros na cadeia e repositórios, e dormir tranquilo.