Eu olho para o GitHub e relatórios de auditoria na verdade procurando alguns "sinais": o projeto está sendo mantido constantemente, alguém responde seriamente às questões levantadas, as correções correspondem às atualizações registradas. Eu também não sou muito supersticioso com a página de conclusões do relatório de auditoria, ao contrário, costumo verificar se está claramente escrito "o que não está dentro do escopo", se riscos semelhantes aparecem repetidamente, e ao terminar de ler, já tenho uma ideia geral.

No que diz respeito à atualização de múltiplas assinaturas, é mais direto: eu verifico até que ponto as permissões podem ser alteradas, se os signatários são os mesmos, se há atraso ou período de aviso prévio. Em resumo, tenho medo de "hoje está tudo bem, amanhã uma atualização com um clique muda tudo". Recentemente, também conversamos sobre o aumento de impostos em certas regiões, o aperto ou relaxamento das regras de conformidade, e como as expectativas de entrada e saída de fundos mudam, tornando as pessoas mais propensas a mover seus recursos rapidamente... Eu, ao contrário, prefiro que seja mais devagar, até mais caro, desde que não seja uma bagunça.