Recentemente, ao analisar projetos, tenho três itens essenciais: GitHub, auditoria e atualização de múltiplas assinaturas. Não olhe apenas para as estrelas e o número de commits no GitHub, primeiro confira o registro de lançamentos/atualizações para ver se há explicações de "por que foi alterado, quem revisou", depois veja se alguém relatou vulnerabilidades nas issues e se elas foram fechadas de forma superficial. Os relatórios de auditoria também não se deixem enganar pelo logo, foque em procurar "escopo" e "riscos conhecidos/itens não corrigidos", alguns são escritos de forma muito polida, mas na verdade é "não olhamos isso". Quanto às múltiplas assinaturas, seja mais direto: quantas pessoas, se a identidade é pública, se há timelock, se dá para atualizar com um clique; em outras palavras, quem consegue alterar a lógica no meio da noite, mesmo com mais dados na cadeia, não consegue salvar, esses dias as ferramentas foram criticadas por serem atrasadas ou por induzirem ao erro, e eu realmente acredito nisso. De qualquer forma, minha votação depende de: quem é responsável se algo der errado, se dá para parar, para onde o dinheiro está indo.