Recentemente, os carteiras de hardware estão esgotadas, os links de phishing estão por toda parte, e isso faz-me ainda mais querer ver a “confiabilidade fundamental do projeto”. Minha solução simples para os novatos: primeiro, olhe para o GitHub, não pelo número de estrelas, mas se alguém realmente está fazendo commits, corrigindo bugs, respondendo a issues recentemente; depois, revise os relatórios de auditoria, não se concentre apenas nas palavras “aprovado/auditado”, mas preste atenção se há riscos claramente listados, se há reavaliações, quais problemas foram aceitos como “conhecidos, mas não corrigidos”. Por último, verifique a assinatura de atualizações multiassinatura: quem pode assinar, quantas pessoas são necessárias, há um timelock (aquele que dá tempo para reagir). Resumindo, mesmo que você não entenda esses detalhes, o suficiente é saber “se alguém está controlando, como controla, quem assume a culpa se algo der errado”. De qualquer forma, agora vejo que só há uma chave capaz de fazer upgrades, então vou evitar essa situação por enquanto.