Eu olho para o GitHub e relatórios de auditoria na verdade procurando alguns "sinais": se o projeto está sendo mantido por alguém, se as questões levantadas foram respondidas de forma séria, se as correções correspondem às atualizações registradas. Eu também não sou muito supersticioso com a página de conclusões do relatório de auditoria, ao contrário, costumo verificar se está claramente escrito "o que não está dentro do escopo", se riscos semelhantes aparecem repetidamente, e ao terminar de ler, já tenho uma ideia geral.

No caso de atualizações de multi-assinatura, é mais direto: eu verifico até que ponto as permissões podem ser alteradas, se os signatários são os mesmos, se há atraso ou período de aviso prévio. Em resumo, tenho medo de "hoje está tudo bem, amanhã uma atualização com um clique muda tudo". Recentemente, também conversei sobre o aumento de impostos em certas regiões, o aperto ou relaxamento de conformidade, e como as expectativas de entrada e saída de fundos mudam, as pessoas ficam mais propensas a mover seus recursos rapidamente... Eu, por outro lado, prefiro ir mais devagar, mesmo que custe mais, desde que tudo seja feito com cuidado.