Últimamente he visto que el proyecto "se ha actualizado con más firmas múltiples y también se han añadido auditorías", y en el grupo la gente empieza automáticamente a sumar puntos de confianza. Mi método casero es: primero revisar GitHub para ver si las contribuciones son de alguien que mantiene el proyecto a largo plazo, no esas que no se tocan en medio año y solo actualizan el README de noche antes de la auditoría; luego revisar los informes de auditoría, lo importante no es cuán lujoso es la portada, sino si en la lista de problemas hay un seguimiento de "ya reparado/no reparado", y que pueda coincidir con los cambios en el código. Tampoco hay que fijarse solo en "3/5 es seguro" para las firmas múltiples, hay que ver quién firma, si son las mismas personas usando diferentes cuentas, en realidad las firmas múltiples poco transparentes solo lucen un poco más que las firmas simples. Últimamente los monederos hardware están agotados, los enlaces de phishing vuelan por todas partes, y en estos momentos se nota más: la seguridad en palabras todos la valoran mucho, pero en la práctica todavía es bastante casual... Primero voy a revisar todas las autorizaciones y marcadores, para no tener que corregir más tarde si me levanto más tarde un día.