Recentemente, ao ver projetos que facilmente compartilham um link do GitHub + relatório de auditoria dizendo "muito seguro", eu fico ainda mais nervoso... Para um iniciante que quer verificar a confiabilidade, acho que não deve se fixar tanto na beleza do código, mas sim em "quem pode modificá-lo": a atualização é multi-assinatura, há várias chaves, qual é o nível de segurança, os signatários são dispersos (não todos do mesmo time), há timelock, pelo menos dá um tempo de reação. Além disso, a auditoria não deve ser avaliada apenas pelo logo na capa, folheie algumas páginas para ver se os problemas de alto risco foram realmente resolvidos, se estão "confirmados" ou "discordamos", e se a versão da auditoria corresponde à implantação atual. O mesmo vale para o GitHub, se as mudanças principais têm vestígios de revisão, se os commits não são de repente um grande pacote... Claro, tudo isso só reduz a probabilidade, pois em dias em que o mercado acompanha o índice do dólar, subindo e descendo junto, prefiro tratar a posição como algo que pode ser atualizado a qualquer momento, com um simples acionamento de interruptor, por enquanto.