Eu, como alguém que faz ordens pendentes, na credibilidade de um projeto, na verdade, olho para três coisas: GitHub, auditoria, e atualização de múltiplas assinaturas.

No GitHub, não sou muito bom a analisar o código, apenas observo a frequência de atualizações e se sempre são uma ou duas pessoas que insistem, de repente, uma enxurrada de contas desconhecidas entra e fico um pouco desconfiado…
O relatório de auditoria também não deve ser visto como uma carta de salvação, principalmente verificando se há uma lista de “já corrigido/não corrigido”, e se a equipe de auditoria é aquela que consegue ser reconhecida pelo nome.
A múltipla assinatura é ainda mais importante: quem tem o controle das permissões de atualização, quantas chaves são necessárias, se há um bloqueio de tempo, ou seja, “se é possível mudar suas regras no meio da noite”.
Recentemente, o L2 ainda discute TPS e subsídios, mas eu, na verdade, quero mais alguém que me lembre de não ser levado por toda essa agitação, devagar, entender bem a estrutura de permissões antes de fazer uma ordem, por enquanto é isso.