Al revisar la "credibilidad" de un proyecto, generalmente inspecciono tres cosas: GitHub, informes de auditoría, y actualizaciones de firmas múltiples. No solo mires las estrellas y la cantidad de commits en GitHub, lo importante es si recientemente han corregido problemas de manera seria, si las discusiones en los PR son de una comunicación humana normal, si las modificaciones clave tienen explicaciones, de lo contrario, ver una pila de "refactor" genera incertidumbre. Tampoco confíes ciegamente en los logotipos de los informes de auditoría, primero busca la página de "riesgos no corregidos/conocidos", especialmente en temas relacionados con permisos, fuentes de precios, límites de liquidación, etc., si ya se corrigieron, cómo se corrigieron, y si eso puede verificarse en el código.

En cuanto a las actualizaciones de firmas múltiples, los novatos tienden a ignorarlas: ¿quién puede modificar el contrato, cambiar parámetros, mover fondos? ¿Cuántas firmas se requieren? ¿Las firmas provienen de un mismo grupo de personas? ¿Hay un timelock (ese que da tiempo para reaccionar)? En resumen, muchas veces la "seguridad" de una actualización con un clic solo es suerte. Últimamente, la gente habla de expectativas de reducción de tasas, el índice del dólar y activos de riesgo que fluctúan juntos, pero a mí me preocupa más este tipo de "riesgos no de mercado", si el mercado cae, aún se puede aguantar, pero si se pisa un error en permisos, ni siquiera hay tiempo para explicar. Por ahora, así está bien, prefiero ir más despacio.