Na terceira vez que um amigo me perguntou "Esse projeto é confiável?", atualmente eu praticamente não olho mais as velas primeiro, vou direto no GitHub e nos relatórios de auditoria. GitHub não é para ver quantas estrelas tem, na verdade é para verificar se as atualizações são normais, se há sinais de manutenção a longo prazo, se as mudanças principais têm explicação, e não uma grande alteração toda baseada em uma única palavra "refactor" para enganar.

Nos relatórios de auditoria, também não basta olhar só se foi "aprovado/não foram encontrados problemas graves", é preciso verificar se a lista de problemas é específica, se há provas de correção, e o ideal é que isso corresponda ao registro de commits do código. Sobre a atualização do multi-assinatura, que os novatos tendem a ignorar: quem pode assinar, quantos podem assinar para fazer mudanças, se há atraso (timelock), esses fatores determinam se você está comprando o protocolo ou apenas a vontade do administrador.

Recentemente, as tags das ferramentas de dados on-chain também foram criticadas por serem atrasadas ou enganosas, eu concordo... então agora eu uso as "tags" como referência, e considero a "estrutura de permissões" e as "alterações no código" como linha de base. Mesmo após estudar, talvez eu não faça uma compra, de qualquer forma, fico mais tranquilo.