Eu olho para o projeto "confiável ou não", na verdade, não começo pela narrativa, primeiro verifico o GitHub e o relatório de auditoria, aproveitando para dar uma olhada se a atualização de permissões é multi-assinatura. Nem os novatos devem ficar assustados, seja mais simples: GitHub não é sobre quantas estrelas tem, mas se recentemente alguém realmente está trabalhando, se as mudanças estão concentradas em uma ou duas pessoas, se há discussões abertas em issues quando surgem problemas (aquelas sem resposta eu já penalizo). O relatório de auditoria também não deve ser avaliado apenas como "passou/não passou", o foco é como lidaram com problemas de alto risco: se foram corrigidos, se aplicaram patches, ou se apenas disseram "risco conhecido aceito". Atualizar para multi-assinatura é mais realista, quem consegue alterar o contrato com um clique, qual o limite de assinatura, se há timelock (para dar tempo de reação a todos), esses detalhes são mais honestos do que o "descentralizado" na propaganda. Recentemente, a conformidade de entrada e saída de fundos fica mais rígida ou mais flexível às vezes, eu mesmo me preocupo mais se, no pior cenário, o projeto consegue sobreviver lentamente seguindo as regras, na verdade, isso depende do hábito: gastar mais dez minutos antes de entrar para verificar essas coisas realmente ajuda a evitar muitos problemas a longo prazo.