Los principiantes que revisan proyectos "si son confiables o no", ahora mismo voy a echar un vistazo a tres cosas primero: si GitHub todavía está activo (no ese tipo de commits masivos en una noche), si el informe de auditoría ha aclarado el alcance / qué no cubre, y si los permisos de actualización son multi-firma, quiénes son los firmantes, cuál es el umbral. No te conformes solo con ver "auditado", muchas veces en los informes una frase como "no auditado el contrato de actualización" ya es suficiente para disuadirme... Además, recientemente las herramientas y etiquetas de datos en la cadena han sido criticadas por estar atrasadas / ser fáciles de engañar, así que voy a hacer validaciones cruzadas: anuncios oficiales, permisos del contrato, discusión en la comunidad, todo debe coincidir antes de considerar hacer una operación. De todos modos, prefiero ir despacio, primero mantener la posición como si fuera cuidar a un bebé.