Iniciante verifica se o projeto é confiável, agora vou dar uma olhada em três coisas primeiro: se o GitHub ainda está ativo (não aquele tipo de atividade que faz uma enxurrada de commits de uma só vez), se o relatório de auditoria deixou claro o escopo/não cobriu algo, e se as permissões de upgrade são multi-assinatura, quem são os signatários, qual é o limite. Não se contente apenas com “já auditado”, muitas vezes um relatório com uma frase “não auditou o contrato de upgrade” já é suficiente para me fazer desistir… Além disso, recentemente as ferramentas de dados on-chain e as tags têm sido criticadas por serem atrasadas/facilmente enganosas, então faço validações cruzadas: anúncios oficiais, permissões do contrato, discussões na comunidade, tudo deve estar alinhado antes de decidir. De qualquer forma, prefiro ir devagar, controlando a posição como se fosse cuidar de uma criança.