Últimamente, al revisar proyectos de "autoacreditación", generalmente primero reviso GitHub: no es cuántas estrellas tiene, sino la frecuencia de commits, si los cambios están concentrados en una sola persona, si en los issues hay alguien preguntando por bugs y si realmente hay respuestas. Luego reviso los informes de auditoría, lo importante no es "aprobado/no aprobado", sino cómo se corrigen los riesgos altos, si hay registros de revisiones posteriores; si se lanza sin terminar de corregir, directamente pongo un signo de interrogación. Para las firmas múltiples en actualizaciones, no solo mires esas cuatro palabras, quiénes son los firmantes, cuál es el umbral, si hay un timelock (el tiempo para retirarte) es aún más importante. Últimamente, la minería social y los tokens de fans vuelven a estar en tendencia, diciendo que la atención es minería, de todos modos, primero pregunto: ¿a quién pertenecen realmente los permisos de contrato y actualización, no vaya a ser que al final lo que mines sea tu propia confianza.