Ultimamente vejo muita gente a perguntar "se este projeto é confiável", para ser sincero também me dói a cabeça. Frequência de atualizações no GitHub, datas de relatórios de auditoria, distribuição de permissões de carteiras multi-assinatura — eu dou uma olhada, mas só isso, não tomo como bíblia.

O relatório de auditoria ter saído não significa que o código não vai ter problemas no futuro, a multi-assinatura estar configurada não significa que a chave privada não se vai perder. No fundo, é tudo sobre "reduzir a probabilidade", não "eliminar o risco".

A minha mentalidade agora é um pouco como fazer backup de discos rígidos: mesmo sabendo que a probabilidade de dois falharem ao mesmo tempo é muito baixa, ainda assim faço uma cópia num terceiro. Não é que não confie na tecnologia, é que não confio que não vá clicar no link errado por engano — ultimamente o phishing está louco, as carteiras de hardware estão esgotadas, o que mostra que finalmente todos entraram em pânico, mas é quando se está em pânico que é mais fácil fazer encomendas erradas.

De qualquer forma, a minha abordagem é, por mais hype que um projeto tenha, só coloco a parte que posso perder, o resto considero como já perdido. É isso.