Недавно я изучаю проект «самоочищение», обычно сначала смотрю GitHub: не на количество звезд, а на частоту коммитов, есть ли изменения, сосредоточенные у одного человека, есть ли кто-то, кто задает вопросы по багам в issue и действительно отвечает. Затем смотрю отчет об аудите, важнее не «пройден/не пройден», а как исправляют высокорискованные пункты, есть ли последующие проверки; если не завершили исправление и сразу запустили — я сразу ставлю вопросительный знак. Мультиподписка при обновлении тоже не стоит рассматривать только по словам «мультиподпись», важнее кто подписывает, каков порог, есть ли таймлок (дающий время на откат). Недавно социальная майнинг-ферма и токены фанатов снова популярны, говорят, что внимание — это майнинг, в любом случае я сначала спрошу: кому действительно принадлежат контракт и права на обновление, чтобы в итоге не получилось, что майнят только доверие к себе.