Recentemente, ao analisar projetos de "auto-prova de inocência", geralmente começo pelo GitHub: não olho tanto para o número de estrelas, mas sim para a frequência de commits, se as mudanças estão concentradas em uma pessoa, se há alguém perguntando sobre bugs nas issues e se alguém responde. Depois, vejo o relatório de auditoria, o foco não é "passou/não passou", mas como as questões de alto risco foram corrigidas, se há registros de reavaliação posteriormente; se foi lançado sem a correção completa, eu já coloco um ponto de interrogação. Para atualizações de multi-assinatura, não olhe apenas para as palavras "multi-assinatura", quem são os signatários, qual é o limite de assinaturas, se há um timelock (que dá tempo para você recuar) são aspectos mais importantes. Recentemente, mineração social e tokens de fãs estão em alta novamente, dizendo que atenção é como mineração, de qualquer forma, eu sempre começo perguntando: quem realmente possui o contrato e as permissões de atualização, para não acabar minerando a confiança própria no final.