Eu atualmente olho para o projeto "Confiabilidade", basicamente três coisas: se alguém realmente está trabalhando no GitHub (não apenas olhando as estrelas, mas verificando se os commits recentes não são uma pilha de alterações no README); não trate relatórios de auditoria como talismãs, foque em "Riscos conhecidos / escopo não coberto", e se aqueles "corrigidos" realmente correspondem ao código; a atualização de permissões é a mais importante, quem assina múltiplas vezes, quantas pessoas na porta de entrada, há atrasos, dá para mudar o contrato com um clique... em resumo, quem pode mexer no seu dinheiro. Recentemente, memes e celebridades chamando atenção estão em uma nova onda de movimento de atenção, eu, como um LP antigo, só quero aconselhar: não pegue a última parte, a agitação é só agitação. De qualquer forma, eu vejo o complexo como inimigo, se você consegue entender três pontos, já é suficiente para não forçar a barra.