Eu considero o complexo como inimigo, por isso, ao avaliar a "confiabilidade" de um projeto, geralmente foco em três coisas:

O GitHub realmente está sendo mantido por alguém (não olhe só as estrelas, dê uma olhada nos commits recentes, nas respostas às issues, parece uma pessoa de verdade);
O relatório de auditoria não olhe apenas para as palavras "já auditado", foque no escopo/número da versão, se há problemas críticos marcados como "conhecidos mas não corrigidos";
A atualização de permissões também deve ser bem clara, quem assinou, quantas assinaturas, se há um timelock, senão, na prática, significa que podem mudar as regras a qualquer momento.
A temporada de airdrops, essa onda de anti-witch + sistema de pontos, virou como um controle de ponto no trabalho, agora prefiro fazer menos tarefas, do que gastar tempo em um pool de permissões tão centralizado…
Por enquanto é isso.