O iniciante quer verificar a "credibilidade" do projeto, não fique apenas de olho nas velas e ouvindo slogans, primeiro confira três coisas: GitHub, relatório de auditoria, atualização de múltiplas assinaturas. GitHub não é olhar o número de estrelas, veja se há realmente mudanças recentes no código, se há pessoas relatando problemas de segurança nas issues, se a equipe responde ou não; quem fica parado por meses e ainda publica posters de colaboração todos os dias, todos sabem. O relatório de auditoria também não deve ser tratado como um amuleto, foque em verificar se há "riscos não resolvidos/conhecidos" e se o escopo da auditoria foi apenas uma inspeção superficial. Depois, a atualização de permissões: o contrato pode ser alterado livremente? Quantas pessoas têm múltiplas assinaturas, são independentes, há atrasos (timelock)... isso é muito mais importante do que "a ecologia é grande". Recentemente, a hype do AI Agent + negociação automática está em alta, mas eu me preocupo mais com quem realmente possui as chaves/autorizações, quem assume a culpa se o robô der problema, a narrativa é fácil de contar, mas uma vez que as permissões estão abertas, não dá para voltar atrás. É isso por enquanto.