Недавно все смотрят на то, как основная публичная цепочка обновляется/обслуживается, и каждый день гадали, переедет ли экосистема.

Я же наоборот начал смотреть GitHub проектов и отчеты по аудитам…
Говоря откровенно, для новичка я оцениваю «доверие» по трём вещам:
— действительно ли кто-то постоянно вносит изменения в код (а не просто за один день заполняет коммиты),
— ясно ли в отчете по аудиту указано, что «что-то не покрыто/риски остаются»,
— а также есть ли мультиподпись для обновлений, кто подписывает, можно ли заменить подписанта, есть ли таймлоки.
Я признаюсь, что немного завидую мультиподписям: команда там выглядит очень стабильной, а у меня только молитвы перед клавиатурой, чтобы не случилось чего-то серьезного.
В любом случае, хоть и интересно, я стараюсь избегать тех, у кого нет прозрачных прав и процессов, — так спокойнее спать.