Eu, como alguém que faz ordens pendentes, na verdade avalio a confiabilidade de um projeto em três aspectos: GitHub, auditoria e atualização de múltiplas assinaturas.

No GitHub, não sou muito bom em analisar o código, então fico de olho na frequência de atualizações e se sempre são uma ou duas pessoas que insistem, de repente, se uma enxurrada de contas desconhecidas entra, fico um pouco cauteloso…
O relatório de auditoria também não deve ser tratado como uma carta de salvação, principalmente verificando se há uma lista de “já corrigido/não corrigido”, e se a equipe de auditoria é aquela que consegue ser reconhecida pelo nome.
A múltipla assinatura é ainda mais importante: quem tem o controle das permissões de atualização, quantas chaves são necessárias, se há um bloqueio de tempo, na verdade, é sobre “se é possível mudar suas regras no meio da noite”.
Recentemente, o L2 ainda discute TPS e subsídios, mas eu, na verdade, prefiro que alguém me lembre de não ser levado pelo barulho, devagar, entender bem a estrutura de permissões antes de fazer uma ordem, por enquanto é isso.