Atualmente, vejo que o projeto de "credibilidade" se resume basicamente a três coisas: GitHub, relatórios de auditoria e atualizações de multi-assinatura.

No GitHub, não olhe apenas para estrelas e número de commits, eu clico para verificar as últimas mudanças se elas giram em torno da lógica central, se há alguém mantendo a longo prazo respondendo a issues, se o código parece ter sido feito às pressas.
Relatórios de auditoria também não devem ser considerados como um amuleto de proteção, foque no escopo da auditoria, nos módulos não cobertos e se problemas de alto risco foram realmente resolvidos, não apenas escrevendo "já corrigido".

Atualizações e multi-assinaturas são mais realistas, na verdade você está comprando o prêmio de risco de "quem pode alterar as regras".
Verifique o número de assinantes, o limiar, quem são os signatários, se é possível trocar as pessoas, se há um timelock (aquele que dá tempo para reagir).
Recentemente, alguém reclamou que as ferramentas de dados na cadeia e o sistema de etiquetas estão um pouco atrasados ou até podem enganar, então eu prefiro revisar essas informações básicas por conta própria, mais devagar, mas com mais segurança, afinal, ficar com pressa pode levar a erros.