Я сейчас рассматриваю три основных компонента проекта «доверие»: GitHub, аудит, мультиподписка для обновлений. GitHub не требует, чтобы вы разбирались в коде, сначала посмотрите, является ли обновление постоянным, не представляет ли оно копипасту, есть ли в issue вопросы по безопасности и как команда отвечает. Не стоит только смотреть на логотип на обложке аудиторского отчета, самое важное — перейти на страницу «Не устранено/Принято риск», там много важных моментов, все ловушки обычно там описаны. Мультиподписка для обновлений более очевидна: сколько человек, какой порог, являются ли подписанты независимыми, лучше еще проверить наличие таймлоков, по крайней мере, чтобы было время на реакцию. (Раньше меня обманули эти три слова «обновляемость»…) В последнее время споры о соблюдении правил вокруг приватных монет/микшеров бушуют, но на самом деле все то же самое, не стоит слишком рано занимать сторону, сначала разберитесь с правами доступа и цепочками ответственности.