Я установил для себя жесткое правило: не просто верить на слово проектной команде, что «безопасно» и «прошло аудит», сначала пролистать самые скучные страницы GitHub и отчета об аудите.

Я не разбираюсь в коде на GitHub, главное — смотреть, есть ли постоянные обновления и исправления, есть ли в issue долгосрочные нерешенные проблемы;
отчет об аудите я смотрю по двум вещам: действительно ли исправлены критические уязвимости, и охватывает ли аудит только мелкие детали.
Обновление мультиподписей — тоже самое, по сути: «кто может управлять деньгами/контрактами», являются ли подписанты независимыми, разумны ли пороги, есть ли таймлоки или другие буферы.
Недавно основная публичная цепочка собирается обновляться с остановкой, все гадали, будет ли миграция, а меня больше волнует: при таких колебаниях на уровне узлов, не будут ли права проекта и механизмы экстренного реагирования «случайно» изменены в спешке…
В любом случае, я предпочитаю пропустить, чем доверять на основе любви и веры.