Последнее время при просмотре проектов у меня три основных пункта: GitHub, аудит, обновление мультиподписей. Не ограничивайтесь только звёздами и количеством коммитов на GitHub, сначала посмотрите раздел релизов/историю обновлений, есть ли объяснение «почему изменили, кто делал ревью», затем проверьте, есть ли в issue сообщения о уязвимостях и не закрыты ли они формально. Не позволяйте логотипам в аудиторах вводить в заблуждение, сосредоточьтесь на «области» и «известных рисках/непрошедших исправлений», некоторые пишут очень вежливо, на самом деле это просто «мы этого не рассматривали». Что касается мультиподписей, всё проще: сколько человек, их публичный статус, есть ли таймлок, можно ли обновлять одним кликом; проще говоря, если можно менять логику в полночь, даже множество тегов на цепочке не спасут, последние инструменты, на которые жаловались за задержки или возможность введения в заблуждение, я всё равно верю. В любом случае при голосовании я смотрю: кто отвечает за возможные проблемы, можно ли остановить процесс, куда идут деньги.