Últimamente, las carteras hardware están agotadas, los enlaces de phishing vuelan por todas partes, y solo así me doy cuenta de que la conciencia de seguridad de la gente ha mejorado… Pero en realidad, si un novato quiere juzgar si un proyecto es “confiable o no”, creo que primero no hay que fijarse en las líneas de precio, sino en GitHub + informes de auditoría + firmas múltiples para actualizaciones, eso ya da para perder medio día.

Yo solo soy un observador que pasa por la cadena, sin tomar partido. En GitHub, lo que principalmente miro es: si hay alguien trabajando a largo plazo (no solo hacer un montón de commits en una noche), si las modificaciones clave son revisadas por alguien, si en los issues hay respuestas serias. En los informes de auditoría, no basta con ver que en la portada diga “aprobado”, hay que revisar si hay riesgos altos, si al final se corrigieron, y si los auditores se atreven a escribir “no garantizamos que no haya vulnerabilidades”. En cuanto a las firmas múltiples para actualizaciones, lo mejor es que no sea alguien que diga “subo ahora” sin más, hay que ver quién firma, cuántas llaves se necesitan, si hay retrasos… esas cosas son mucho más importantes que solo el lema.

De todos modos, ahora si un enlace no se puede evitar, mejor no hacer clic, y las carteras deben seguir en capas, así de simple.