Estabeleci uma pequena regra para mim mesmo: ao encontrar um novo projeto, não me apresse em mergulhar de cabeça, primeiro dê uma olhada no GitHub e nos relatórios de auditoria, não para entender o código, mas principalmente para ver se é “mantido por uma pessoa real” — se as submissões são contínuas, se há alguém abrindo issues, se o ritmo de correção de bugs parece estar ativo. O mesmo vale para auditoria, ou seja, basicamente olho para duas coisas: se há um escopo/número de versão claro, e como os problemas estão sendo resolvidos, nada de passar por cima com um “auditado = seguro” em uma frase só.

E sobre a atualização de multiassinatura, antes eu realmente não ligava, mas depois de ser enganado algumas vezes por interações entre ponte e carteira, aprendi a ficar esperto: antes de uma grande atualização, espero que a execução da multiassinatura seja registrada, que a comunidade tenha revisado, e só então faço a ação, prefiro entregar o pedido mais tarde do que ter uma falha no meio do caminho. Recentemente, aquela chain principal vai fazer uma atualização, todo mundo no grupo está especulando se vão migrar ou não, eu pelo menos já calculei o caminho: quem tem o controle das permissões de atualização, quem divulga as informações com frequência, assim fico mais tranquilo. É isso por enquanto.