Eu trato a complexidade como inimiga, então ao avaliar a "confiabilidade" de um projeto, geralmente foco em três coisas:

GitHub realmente tem alguém mantendo (não olhe só as estrelas, dê uma olhada nos commits recentes, nas respostas de issues, parece uma pessoa de verdade);
O relatório de auditoria não olhe só as palavras "já auditado", foque no escopo/versão, se há problemas críticos marcados como "conhecidos mas não corrigidos";
A atualização de permissões também precisa ser bem clara, quem assinou, quantas assinaturas, se há um timelock, senão, na prática, é como se pudesse mudar as regras a qualquer momento.
A temporada de airdrops, essa onda de anti-witch + sistema de pontos, virou como um controle de ponto no trabalho, agora prefiro fazer menos tarefas do que gastar meu tempo em um pool de permissões tão centralizado…
Por enquanto é isso.