Ahora, al revisar un proyecto, generalmente verifico tres cosas: GitHub, informes de auditoría y actualizaciones/multifirma. No solo mires las estrellas en GitHub, primero revisa si todavía está activo, si hay respuestas en los issues, si los cambios clave son solo fusiones temporales... esos que no actualizan en medio año y de repente hacen cambios grandes, primero retiro los permisos y listo. Tampoco tomes los informes de auditoría como una carta de inmunidad, enfócate en “ya corregido/no corregido” y en el alcance; muchas auditorías solo cubren una parte del contrato, y la lógica de actualización es la que más fácilmente puede ser omitida.

La actualización con multifirma es más práctica: quién controla las llaves, cuántas firmas se necesitan, si hay un timelock. Si puede cambiarse en cualquier momento sin retraso, es como si entregaras la cartera a otra persona.

¿Qué hacer si las herramientas de etiquetado en la cadena están atrasadas o pueden ser engañosas?
Entonces, no confíes solo en las etiquetas, revisa tú mismo la lista de autorizaciones y los permisos del contrato, al menos tendrás una idea clara.

De todos modos, mi hábito personal: primero, en nuevos protocolos, autorizaciones pequeñas y límites, cuando veo permisos ilimitados me da ganas de revocar, prefiero que sea un poco más molesto. Así lo haré por ahora.