Os novatos querem verificar se um projeto é confiável, não foquem primeiro em frases como “lucros na cadeia” ou “comparável aos títulos do Tesouro dos EUA”, primeiro olhem para três coisas: o GitHub está sempre ativo, o relatório de auditoria explica claramente os riscos, e a atualização é por múltiplas assinaturas e não por uma única pessoa que decide de repente. Para ser claro, a frequência de atualizações pode ser forjada, as auditorias podem ser exibidas seletivamente, mas a questão das múltiplas assinaturas é a mais difícil de simular — quem tem o controle das permissões, dá para perceber de imediato se é “descentralizado” ou “qualquer um pode perguntar”. Eu, de qualquer forma, prefiro ganhar um pouco menos do que ser acordado no meio da noite por uma atualização com um clique.