Eu agora, ao julgar se um projeto é "confiável" ou não, basicamente verifico se ele deixou claro quem tem o poder de fazer upgrades… Não é que ter auditoria garanta segurança, mas pelo menos não esconder. Se um iniciante realmente quer ver o GitHub/relatórios de auditoria, acho que basta focar em dois pontos: primeiro, se as atualizações recentes estão normais (não ficar parado um ano e ainda dizer que é muito ativo), segundo, se na auditoria há registros claros de correções para riscos altos mencionados, senão é “visto, mas não corrigido”.

E sobre a multi-assinatura para upgrades, não basta olhar quantas pessoas assinaram, na verdade é preciso ver quem pode mudar a lógica, se há timelock, se há um botão de emergência e processos em caso de problemas. Recentemente, carteiras de hardware estão esgotadas, links de phishing estão por toda parte… a conscientização de segurança das pessoas melhorou, mas aquele risco na cadeia de “permissões que podem ser levadas com um clique” realmente não dá para evitar só com links mais cuidadosos. Vá com calma, prefiro perder a oportunidade do que arriscar.