Últimamente, al revisar proyectos, solo tengo tres cosas: GitHub, auditoría, y actualización de firmas múltiples. No mires solo las estrellas y el número de commits en GitHub, primero revisa en release/registro de actualizaciones si hay una explicación de "por qué se cambió, quién revisó", y luego mira si en los issues alguien reportó vulnerabilidades y si esas han sido cerradas de manera superficial. Los informes de auditoría tampoco te dejes engañar por los logos, enfócate en buscar "alcance" y "riesgos conocidos/elementos no corregidos", algunos están escritos de manera muy cortés, pero en realidad es "no hemos revisado esto". En cuanto a las firmas múltiples, es más directo: cuántas personas, si son de identidad pública, si hay timelock, si se puede actualizar con un clic; en pocas palabras, si pueden cambiar la lógica en medio de la noche, incluso con etiquetas de datos en cadena, no te salvarán. Esos herramientas que han sido criticadas por estar atrasadas o ser engañosas, yo realmente creo en ellas. De todos modos, cuando voto, solo miro: quién es responsable si pasa algo, si se puede detener, a dónde va el dinero.