Recentemente, ao verificar o projeto "Confiável ou Não Confiável", acabei primeiro consultando o GitHub e o relatório de auditoria, não para parecer que entendo… mas para ver se eles realmente abriram a estrutura para você. No GitHub, pelo menos deve haver commits contínuos, issues com respostas, registros de atualizações bem detalhados; no relatório de auditoria, não olhe apenas para a capa e quem assinou, mas também para como as vulnerabilidades críticas foram corrigidas, se houve reavaliação, e se aqueles "riscos conhecidos" são apenas uma menção rápida.

Outro ponto que eu valorizo bastante é: múltiplas assinaturas para atualizações. Quem são os signatários pode não ser conhecido, mas o limite de assinaturas, se há um timelock, quem detém o poder de pausa de emergência, essas informações básicas podem ser transparentes. Recentemente, grandes transferências na cadeia, movimentações de carteiras frias e quentes de exchanges são interpretadas como "dinheiro inteligente", mas, na verdade, acho essa superinterpretação cansativa… Prefiro gastar uns dez minutos a mais para entender a estrutura de permissões, pelo menos para ter uma ideia clara. De qualquer forma, quando vejo algo dizendo "atualização imediata" sem detalhes, prefiro ficar longe.