El novato me pregunta cómo saber si un proyecto es "confiable o no", generalmente primero reviso GitHub y los informes de auditoría, luego veo cómo se configura la firma múltiple para actualizaciones. GitHub no se trata de cuántas estrellas tiene, en realidad se trata de si las actualizaciones son continuas, si hay explicaciones sobre los cambios principales, si cuando hay problemas alguien se hace responsable de arreglar; tampoco basta con ver que esté "auditado", lo importante es si la lista de problemas está cerrada, cómo se manejan los problemas graves, si después de la auditoría se hacen grandes cambios. La firma múltiple para actualizaciones es aún más importante: cuántas personas pueden modificar el contrato, si hay un bloqueo de tiempo, si los firmantes son un montón de direcciones relacionadas... estas cosas son mucho más relevantes que las peleas de TPS en L2, las peleas por subsidios y esas cosas.