Eu olho o projeto "confiável ou não", na verdade não começo pelo narrativa, primeiro verifico o GitHub e o relatório de auditoria, aproveitando para dar uma olhada se a atualização de permissões é multi-assinatura. Não se assuste, o básico é: GitHub não é sobre quantas estrelas tem, mas se alguém realmente está trabalhando recentemente, se as mudanças estão concentradas em uma ou duas pessoas, se há discussões de issues quando surgem problemas (se ninguém responde, eu já dou uma nota mais baixa). Quanto ao relatório de auditoria, não olhe só para "aprovado/não aprovado", o importante é como lidaram com problemas de alto risco: se foram corrigidos, se aplicaram patches, ou se apenas disseram "risco conhecido, aceitamos". Atualizar para multi-assinatura é mais realista, quem consegue alterar o contrato com um clique, qual o limite de assinatura, se há timelock (para dar tempo de reação a todos), esses detalhes são mais honestos do que o "descentralizado" na propaganda. Recentemente, a conformidade de entrada e saída de fundos fica mais rígida ou mais relaxada às vezes, eu mesmo me preocupo mais se, no pior caso, o projeto consegue sobreviver lentamente seguindo as regras, na verdade isso depende do hábito: antes de entrar, gastar mais dez minutos verificando essas coisas realmente ajuda a evitar muitos problemas a longo prazo.