В последнее время все аппаратные кошельки распроданы, фишинговые ссылки повсюду, и это только усиливает мое желание смотреть на «уровень доверия» проекта. Мой глупый способ для новичков: сначала смотреть GitHub — не на количество звезд, а на то, есть ли там действительно коммиты, исправления багов, ответы на issue; затем читать отчеты по аудиту, не зацикливаясь только на словах «пройдено/аудитировано», а обращая внимание на наличие явно указанных рисков, повторных проверок, и какие проблемы были приняты как «известные, но не исправленные». Потом смотреть на мультиподписные обновления: кто может подписывать, сколько человек нужно, есть ли таймлок (чтобы у вас было время на реакцию). Говоря прямо, если вы не понимаете эти вещи — ничего страшного, главное — уметь определить, «кто за этим стоит, как управляют, кто понесет ответственность в случае проблем». В любом случае, если я вижу только один ключ для обновления, я сразу избегаю этого.