Atualmente, vejo que o projeto de "credibilidade" se resume basicamente a três coisas: GitHub, relatórios de auditoria e atualizações de multi-assinatura.

No GitHub, não olhe apenas para estrelas e número de commits, eu clico para verificar as últimas mudanças e se elas giram em torno da lógica central, se há alguém mantendo a longo prazo respondendo às issues, se o código parece ter sido feito às pressas.
Relatórios de auditoria também não devem ser apenas um amuleto de proteção, foque no escopo da auditoria, nos módulos não cobertos e se problemas de alto risco foram realmente resolvidos, não apenas escrevendo "corrigido".

Atualizações e multi-assinaturas são mais realistas, na verdade você está comprando o prêmio de risco de "quem pode alterar as regras".
Verifique o número de assinantes, o limite, quem são os signatários, se é possível trocar as pessoas, se há um timelock (aquele que dá tempo para reagir).
Recentemente, alguém reclamou que as ferramentas de dados na cadeia e o sistema de etiquetas estão um pouco atrasados ou até podem enganar, então eu prefiro revisar essas informações básicas por conta própria, mais devagar e com mais segurança, afinal, ficar apressado pode levar a erros.