Agora estou avaliando o projeto "confiável ou não", na verdade não dou mais tanta atenção ao que dizem, primeiro vou conferir o GitHub e os relatórios de auditoria... Mas, para ser honesto, é fácil para um novato ser enganado. Atualizações no GitHub nem sempre significam melhorias úteis, às vezes só mudam um README e já parecem muito diligentes; também não olhe só a capa do relatório de auditoria, é preciso dar uma olhada se as questões estão "resolvidas/aceitar risco/para a próxima", aquelas frases de várias questões de risco médio a alto no final, como "a equipe promete otimizar no futuro", eu já tiro a mão para tomar um café.

A atualização de multi-assinatura é ainda mais perigosa, na verdade é sobre "se podemos mudar as regras no futuro". Eu verifico quantas pessoas fazem parte da multi-assinatura, qual é o número mínimo de assinaturas, se os signatários estão dispersos, o ideal é ter um bloqueio de tempo, para dar tempo de reação a todos, senão, na meia-noite, uma assinatura para atualizar e você nem consegue correr. Recentemente, alguém reclamou que as ferramentas de dados na cadeia e o sistema de etiquetas estão atrasados e podem induzir ao erro, agora também não confio muito nessas "etiquetas de segurança", uso mais como um aviso, se for agir de verdade, olho mais na cadeia e nas permissões... Dizem que não querem comprar na alta, mas quando veem o preço no chão, começam a tremer na mão, ah, por enquanto é assim.