В третий раз вижу, как друзья бросаются в бой под криками Meme+знаменитостей, и я даже не знаю, что им советовать… Честно говоря, не стоит постоянно надеяться на последний рывок, внимание и реакция быстрее твоей скорости рук.

Сам я считаю проект «достоверным» очень простым: сначала проверяю GitHub, действительно ли там есть обновления или только меняют README; есть ли распределение коммитов между разными людьми или кто-то один занимается всем, есть ли ревью. Потом ищу аудиторские отчёты, не только смотрю на логотип на обложке, а сосредотачиваюсь на пунктах «высокий риск/не исправлено» и их ответах, многие проекты после аудита всё равно могут оставить уязвимости. В конце смотрю на права обновления: можно ли обновлять их в любой момент, есть ли мультиподписи, сколько человек нужно для подтверждения, есть ли таймлок (чтобы дать время на побег). Всё это не гарантирует безопасность, но хотя бы помогает отсеять половину «выглядящих очень шумными» проектов… Я, в любом случае, предпочитаю идти медленнее, чтобы меньше попадать в ловушку.