Последнее время много проектов рекламируют «прошли аудит/открытый исходный код», шум действительно такой, что голова болит. Говоря честно, новичкам важно определить доверие, я обычно делаю три вещи: сначала смотрю на GitHub, есть ли там постоянные обновления (не те, кто год назад скинул исходный код и забросил), есть ли в issues сообщения о уязвимостях, отвечает ли команда; затем просматриваю заключение аудита, особенно обращаю внимание на «что обнаружили, исправили ли», не только на логотип на обложке; наконец, слежу за правами обновления, можно ли обновлять, кто может подписывать, разделены ли мультиподписи (не чтобы было 3 из 5, но все три — одна команда). В последнее время аппаратные кошельки распроданы, фишинговых ссылок много, чем больше так, тем больше не стоит спешить кликать на незнакомые «раздачи/компенсации» ссылки. Моя стратегия фильтрации одна: доверяю только цепочке и официальному сайту, остальную информацию оставляю на потом, пусть даже медленнее — все равно не потеряешь.