Iniciante ao avaliar um projeto, verifico primeiro três coisas: se o GitHub ainda está ativo (não aquele tipo de atividade que faz uma enxurrada de commits numa noite só), se o relatório de auditoria deixou claro o escopo/não cobriu certas áreas, e se as permissões de atualização usam multiassinatura, quem são os signatários, qual é o limite. Não basta ver “já auditado” e ficar tranquilo, muitas vezes um relatório que diz “não auditou o contrato de upgrade” já é suficiente para me fazer recuar… Além disso, recentemente as ferramentas de dados on-chain e as tags têm sido criticadas por serem atrasadas/facilmente enganosas, então faço validações cruzadas: anúncios oficiais, permissões do contrato, discussões na comunidade, tudo deve conferir antes de decidir. De qualquer forma, prefiro ir devagar, mantendo a posição sob controle como se fosse cuidar de uma criança.