Visto que todos estão falando se haverá migração de projetos antes ou depois da atualização da cadeia principal mainstream, na verdade o que me interessa mais é: quem apertou o botão da atualização. Os iniciantes querem ver a “credibilidade”, acho melhor não se deixar levar pela divulgação, siga a ordem de verificar três coisas: o GitHub recentemente só tem mudanças de texto ou há código sólido e revisões; o relatório de auditoria não olhe só pelo logo na capa, pesquise diretamente por trechos como “não corrigido/riscos conhecidos”; e também a assinatura da atualização multi-assinatura, quem são os signatários, quantas chaves são necessárias, há um timelock. Para ser claro, por mais forte que a cadeia seja, ela não impede que “nós vamos só ajustar um parâmetro temporariamente”… Geralmente, reviso esses três pontos para ter uma noção.