Recentemente, hardware wallets estão esgotados, links de phishing estão por toda parte, e isso me faz querer olhar mais para a "confiabilidade fundamental do projeto". Minha solução simples para iniciantes: primeiro, olhe o GitHub, não pelo número de estrelas, mas se alguém realmente está fazendo commits, corrigindo bugs, respondendo a issues recentemente; depois, revise os relatórios de auditoria, não foque apenas nas palavras "aprovado/auditado", preste atenção se há riscos claramente listados, se há reavaliações, quais problemas foram aceitos como "conhecidos mas não corrigidos". Por fim, verifique as assinaturas de atualização multi-assinatura: quem pode assinar, quantas pessoas são necessárias, se há timelock (aquele que dá tempo para reagir). Resumindo, se você não entender essas coisas, tudo bem, o suficiente é saber "se alguém está supervisionando, como está supervisionando, quem assume a culpa se algo der errado". De qualquer forma, agora vejo que só há uma chave capaz de fazer atualizações, então vou evitar essa.