Я в последнее время сосредоточен на проектах и больше не хочу позволять «нарративу» вести меня за собой, поэтому на столе приклеил заметку: сначала смотрю на доверие, потом на историю. Новичкам в GitHub не обязательно разбираться в коде, сначала проверяю, есть ли долгосрочное управление обновлениями, есть ли ответы на issue, ясно ли указаны риски при ключевых обновлениях; затем читаю аудитные отчёты, не ограничиваясь «принято/без серьёзных проблем», а обращая внимание на наличие высокорискованных пунктов, действительно ли исправили всё, и на то, какая аудитная организация — только штампующая или действительно проверяющая. Также по поводу мультиподписей при обновлениях — по сути, это «кто может управлять вашими деньгами», смотрю, достаточно ли распределены подписи, есть ли разумный порог, есть ли таймлок, чтобы все могли заранее реагировать. В последнее время все связывают поток ETF-капиталов и риск-аппетит на американском рынке, и при этом легко упустить из виду эти базовые детали… В любом случае я сначала придерживаюсь заметки, пусть медленнее, но спокойнее.