最近プロジェクトを見るときはまずGitHubを確認します。

専門的に見せかけているわけではなく、「シグナル」を探しているだけです：
コードが継続的に更新されているか、issueに本当にバグを追っている人がいるか、PRの議論にやりとりがあるか、
ただのショーウィンドウのように一気に流すだけのリポジトリではないか。
それから監査報告もいくつかポイントだけ押さえます：
監査側が「カバーしていない範囲」を書く勇気があるか、
重要なリスクがプロジェクト側に認識されて修正されているか、
一番怖いのは結論が全部「低リスク」ばかりで、読んだ後に逆に不安になることです。

マルチシグのアップグレードはより直感的です：
署名者は誰か、分散されているか、単一の判断で決められるハードルになっていないか…
要するに、遅くてもいいから、いつか「熱修正」されてしまうのを防ぎたいです。
最近はプライバシーコインやミキシングのコンプライアンスが激しく議論されていますが、
私はむしろ、プロジェクトが境界線をはっきりさせているかどうかを重視しています。
プライバシーの自由を叫びながらリスクをユーザーに丸投げするのは疲れます。
とりあえずこんなところで、落ち着いて進めていきます。