Проверяя материалы по протоколам во время пути на работу, я заметил, что многие спрашивают: «Активность на GitHub = безопасность?»

Сейчас я склоняюсь к тому, чтобы рассматривать это как один из аспектов: смотрите, продолжаются ли коммиты, не являются ли они просто роботами, меняющими readme; есть ли тесты для ключевой логики, есть ли в issue серьезные предложения по исправлению багов, как разработчики реагируют…
Это более надежно, чем просто количество звезд.

Аудиторские отчеты тоже не стоит воспринимать как гарантию безошибочности, я обычно сначала смотрю в выводе «Исправлено/Не исправлено/Принят риск», затем — охват: какие контракты проверяли, проверяли ли только определенную версию, считается ли обновление тоже проверкой.
Самое легко пропустить — это обновление мультиподписей: кто принимает решения, сколько ключей нужно, есть ли таймлок (хотя бы чтобы дать время на реакцию).
Говоря проще, возможность обновления означает, что риск, связанный с «людским фактором», всегда остается.

Недавно, как только появились новости о ужесточении/ослаблении требований к соответствию, ожидания по входу и выходу средств стали особенно чувствительными…
В этот момент я больше обращаю внимание на то, насколько распределены участники мультиподписей, есть ли прозрачная история изменений, иначе даже если цепочка выглядит идеально, при напряженной ситуации на внецепочечной арене все может пойти не так.
В любом случае, я сам предпочитаю медленнее, но с использованием понятных и надежных методов, чтобы чувствовать себя спокойнее.