Eu, com esse tipo de interação diária, tenho mais medo de cair na armadilha de algo que pareça um projeto legítimo... Agora, para julgar a credibilidade, geralmente verifico três coisas: se o GitHub está sendo atualizado continuamente (não algo que foi lançado de uma vez só), se o relatório de auditoria é compreensível em algumas palavras (pelo menos entender o que foi auditado, o que não foi, se há riscos altos não corrigidos), e se a atualização de permissões é por múltiplas assinaturas, se os signatários são dispersos, e se há atraso na assinatura. Para ser claro, contratos que podem ser atualizados livremente, mesmo com altos ganhos na cadeia, não considero algo tão seguro quanto um “título do Tesouro dos EUA/RWA”... De qualquer forma, meu hábito é: posso testar com pequenas quantidades na interação, mas mantenho uma postura de backup, deixando uma margem de segurança, não colocar toda a confiança em um único botão.