Je pense que le « crédibilité » d’un projet se résume essentiellement à trois choses : GitHub, rapport d’audit, et mise à jour multi-signature.

Je ne regarde pas les détails du code sur GitHub (je ne comprendrais peut-être pas même si je regardais), je vérifie simplement si les mises à jour sont continues, s’il y a quelqu’un qui fait un review sérieux, et si les changements clés sont expliqués ;
Ce genre de projets qui soumettent énormément puis se calment, je vais d’abord mettre un point d’interrogation.
Les rapports d’audit ne doivent pas être pris pour argent comptant, avoir un rapport ne signifie pas sécurité, je suis plus intéressé par ce que couvre l’audit, si les problèmes connus ont été corrigés, et si l’équipe a fourni des explications supplémentaires par la suite.
La mise à jour multi-signature est encore plus concrète : quelques clés, qui les détient, si on peut changer les règles d’un clic, s’il y a un timelock, au moins cela me permet de savoir « quelle est la pire situation ».

Récemment, la mise en staking, la sécurité partagée, et la superposition de gains ont été critiquées comme étant du « poupée russe » (c’est-à-dire une complexité inutile),
je veux surtout voir clairement qui détient le pouvoir de mise à jour, peu importe combien les gains s’accumulent, si la couche sous-jacente peut être modifiée à tout moment, c’est peu rassurant…
Ce que je crains le plus, ce n’est pas la perte d’argent, mais la perte de contrôle : si l’argent est perdu, on peut l’accepter, mais si les règles changent soudainement, je ne saurai même pas comment j’ai perdu.
En tout cas, il faut d’abord comprendre bien les permissions et les processus, pour dormir sur ses deux oreilles.