Veo que todos vuelven a hablar sobre si habrá migración de proyectos antes y después de la actualización de esa cadena pública principal, en realidad me preocupa más: quién presionó el botón de la actualización. Los principiantes quieren ver la "credibilidad", creo que primero no dejen que la promoción los lleve por delante, sigan el orden de revisar tres cosas: ¿GitHub últimamente solo ha cambiado textos, o hay código real y revisiones? No solo miren el logo en el informe de auditoría, búsquenlo directamente con las frases "no reparado/riesgos conocidos"; y también la firma de la actualización múltiple, ¿quién firma, cuántas llaves se necesitan, hay un timelock? En resumen, por más fuerte que sea la cadena, no puede detener que "de repente cambiamos algunos parámetros"... Normalmente reviso estos tres puntos, para tener una idea clara.