Recentemente, ao analisar projetos, tenho três itens essenciais: GitHub, auditoria e atualização de multiassinatura.

No GitHub, não olhe apenas para as estrelas e o número de commits, primeiro confira as versões/registro de atualizações para ver se há explicações de "por que foi alterado, quem revisou", depois veja se alguém relatou vulnerabilidades nas issues e se elas foram fechadas de forma superficial.
O relatório de auditoria também não se deixe enganar pelo logo, foque em procurar "escopo" e "riscos conhecidos/itens não corrigidos", alguns são escritos de forma muito polida, mas na verdade é "não olhamos isso".
No caso de multiassinatura, seja mais direto: quantas pessoas, se a identidade é pública, se há timelock, se é possível atualizar com um clique; em resumo, quem consegue alterar a lógica no meio da noite, mesmo com várias etiquetas de dados na cadeia, não adianta, esses ferramentas recentes têm sido criticadas por serem lentas ou enganosas, e eu realmente acredito nisso.
De qualquer forma, minha votação depende de: quem é responsável se algo der errado, se é possível interromper, para onde o dinheiro vai.