Yo, que soy un novato, evalúo si un proyecto es "confiable" o no, ahora básicamente con tres cosas: GitHub, informe de auditoría, y firma múltiple.

GitHub no miro qué tan avanzado está, solo si últimamente hay gente trabajando en serio, si alguien responde a los issues, no solo un montón de bifurcaciones que parecen una exposición…
El informe de auditoría tampoco entiendo los detalles, solo saco conclusiones y la lista de correcciones, lo que más miedo me da es ese tipo de "riesgo conocido: dependencia de la buena voluntad del administrador" y que lo tomen como si no fuera nada.
La firma múltiple es aún más directa: cuántas llaves, quiénes, si se puede cambiar, si hay retraso en los cambios, porque si no, en realidad, si puedo cambiar las reglas con un clic en cualquier momento, no puedo dormir.
Últimamente, las herramientas de datos en la cadena y las etiquetas no dejan de quejarse por estar desactualizadas o por inducir a error, así que tampoco confío mucho en eso de "una dirección = una institución", prefiero verificar varias veces con cruces de datos.
Por cierto, en la red de prueba, otra vez enfrentando problemas de actualización, reintentos, colas, y al hacer clic en confirmar, se siente como si fuera una garra de gato, y aún así, me pongo nervioso.
Así que eso es todo por ahora, iré aprendiendo poco a poco.