Eu vejo o projeto “confiável ou não confiável”, agora parece mais um hábito, não uma habilidade especial. No GitHub, não olho para o número de estrelas, primeiro verifico os commits: há alguém fazendo alterações a longo prazo, há respostas em issues, as mudanças importantes têm explicação; depois olho para o relatório de auditoria, o foco não é “aprovado”, mas se o escopo foi bem definido, se problemas conhecidos foram deixados de lado, se a equipe realmente fez melhorias posteriormente. Para a atualização de múltiplas assinaturas, também não basta ouvir “múltiplas assinaturas são seguras”, é preciso verificar quem assina, qual é o limite de assinatura, se é possível trocar a lógica unilateralmente. Recentemente, a discussão sobre moedas de privacidade/mescladores ficou bastante acalorada, e, na verdade, quando os limites de conformidade não estão claros, é ainda mais importante monitorar as permissões e o caminho de atualização, senão você pensa que é uma questão técnica, mas acaba virando uma governança que pode ser alterada livremente. De qualquer forma, eu prefiro ir devagar, passar duas páginas a mais de registros na cadeia e no repositório, assim durmo mais tranquilo.