Eu estabeleci uma pequena regra para mim mesmo: ao encontrar um novo projeto, não se apresse em mergulhar de cabeça, primeiro dê uma olhada no GitHub e nos relatórios de auditoria, não para entender o código, mas principalmente para ver se é “mantido por uma pessoa real” — se as submissões são contínuas, se há alguém abrindo issues, se o ritmo de correção de bugs parece estar trabalhando. O mesmo vale para auditoria, na verdade, eu só olho duas coisas: se há um escopo/número de versão claros, e como os problemas estão sendo tratados, nada de passar por cima com um “auditado = seguro” em uma frase só.

E sobre a atualização de multiassinatura, eu realmente não dava atenção antes, mas depois de ser enganado algumas vezes por interações entre ponte e carteira, aprendi a ficar esperto: antes de uma atualização importante, espero que a execução da multiassinatura seja registrada, que a comunidade tenha revisado, aí só então faço a ação, prefiro entregar a transação mais tarde do que ter uma falha no meio do caminho. Recentemente, aquela chain principal vai fazer uma atualização, todo mundo no grupo está especulando se vai migrar, mas eu, de qualquer forma, primeiro calculei bem o caminho: quem tem o controle das permissões de atualização, quem divulga as informações com frequência, assim fico mais tranquilo. É isso por enquanto.