Ultimamente vejo muitas pessoas perguntando "esse projeto é confiável?", para ser sincero, também me dá dor de cabeça. Frequência de atualização do GitHub, data do relatório de auditoria, distribuição de permissões de carteira multi-assinatura — essas coisas eu dou uma olhada rápida, mas só isso, não trato como bíblia.

O relatório de auditoria ter saído não significa que o código não terá problemas no futuro, ter configurado multi-assinatura não significa que a chave privada não será perdida. Em outras palavras, são apenas "reduzir a probabilidade", não "eliminar o risco".

Minha mentalidade agora é um pouco como backup de HD: mesmo sabendo que a probabilidade de dois falharem ao mesmo tempo é extremamente baixa, ainda assim faço uma cópia em um terceiro. Não é que eu não confie na tecnologia, é que não confio em mim mesmo para não clicar no link errado por engano — ultimamente os golpes de phishing estão loucos, carteiras de hardware estão esgotadas, o que mostra que todo mundo finalmente entrou em pânico, mas é quando se está em pânico que é mais fácil fazer pedidos errados.

De qualquer forma, minha abordagem é: por mais hype que o projeto tenha, só coloco a parte que posso perder, o resto já considero como perdido. É isso aí.