Я зараз визначаю, чи можна довіряти проекту, в основному дивлюся, чи чітко він описав права на оновлення… Не означає, що наявність аудиту гарантує стабільність, але принаймні не слід приховувати це. Якщо новачок справді хоче подивитися GitHub/звіт аудиту, я вважаю, що достатньо зосередитися на двох моментах: по-перше, чи оновлення відбуваються не рідше ніж раз у певний час (не можна роками нічого не оновлювати і при цьому казати, що проект дуже активний), по-друге, чи у звіті аудиту є чіткі записи про виправлення високоризикових вразливостей, інакше це просто “подивився, але не виправив”.

Ще щодо мультипідпису для оновлень, не достатньо просто дивитися, скільки людей підписали, потрібно дивитися, хто може змінювати логіку, чи є таймлок, чи є аварійний перемикач і процеси у разі проблем. Останнім часом апаратні гаманці всі розкупили, фішингові посилання стали неймовірно поширеними… Усі підвищили свою обізнаність щодо безпеки, але пастки на зразок “права однією командою зняти” у ланцюгу, справді не можна уникнути просто обережністю з посиланнями. Повільніше, щоб все з’ясувати, я все одно краще пропущу.