Ao avaliar se um projeto é "confiável ou não", atualmente estou cansado de ouvir grandes narrativas, concentro-me em três coisas: se o GitHub realmente tem alguém trabalhando (não apenas alterando um README para chamar de atualização), se o relatório de auditoria menciona "o que foi alterado, quais riscos, o que não foi coberto", e quem realmente detém o controle de privilégios de atualização — assinaturas múltiplas parecem boas, mas se os signatários forem os mesmos, e não houver mecanismo de atraso, é praticamente o mesmo que uma assinatura única.

Os novatos querem simplificar, então focam numa frase: será que dá para você ter tempo de agir antes que algo aconteça? Especialmente agora, com alguns lugares aumentando impostos ou ajustando a conformidade de forma repentina, as expectativas de entrada e saída de fundos mudando, as pessoas ficam mais ansiosas, e eu, na verdade, prefiro aquele tipo de acordo que diz "pode ser mais devagar, mas não me surpreenda com uma facada"... De qualquer forma, fico de canto observando como eles vão fazer as mudanças, só quando estiver realmente seguro é que vou falar.