Je n'ai pas envie de me laisser emporter par la « narration » en suivant le projet récemment, alors j'ai collé un post-it sur la table : d'abord regarder la crédibilité, puis l'histoire.

Les débutants qui lisent GitHub n'ont pas besoin de comprendre le code, il faut d'abord vérifier si les mises à jour sont gérées à long terme, si des issues ont des réponses, si les risques liés aux mises à jour importantes sont clairement expliqués ;
ensuite consulter le rapport d'audit, ne pas se contenter de « approuvé / pas de problème majeur », mais surtout vérifier s'il y a des risques élevés, si les corrections ont été faites au final, si l'organisme d'audit est du genre à simplement apposer un cachet.
Concernant la multil signature pour les mises à jour, en gros, c'est « qui peut bouger ton argent », il faut regarder si les signataires sont suffisamment dispersés, si le seuil est raisonnable, s'il y a un timelock pour que tout le monde puisse réagir à l'avance.
Récemment, tout le monde lie le flux de fonds ETF et la tolérance au risque du marché américain, mais dès que l'émotion monte, on a tendance à négliger ces détails fondamentaux…
De toute façon, je vais d'abord suivre cette méthode du post-it, prendre mon temps, c'est plus rassurant.