Em que o projeto se baseia para ter "credibilidade", geralmente começo verificando o GitHub, não pelo número de estrelas, mas se há revisões nas mudanças, se as principais alterações têm explicação, se as questões no issue foram respondidas com seriedade. Depois, olho o relatório de auditoria, não apenas para ver se foi "aprovado", mas para procurar: se o modelo de ameaça foi claramente descrito, quais problemas foram considerados resolvidos, quais apenas "aceitaram o risco". A elevação de privilégios é ainda mais importante, quem tem múltiplas assinaturas, qual é o limite, se é possível trocar o contrato de implementação facilmente, pois, na prática, isso decide se você está usando um protocolo ou um controle remoto.

Recentemente, mineração social, tokens de fãs estão em alta novamente, o que também pode ser considerado uma forma de "mineração" de atenção, mas eu penso ao contrário: se você posta algo, recebe tokens, então ao atualizar a múltipla assinatura, as regras podem ser alteradas, e a atenção pode estar sendo direcionada para a saída de liquidez de outros. De qualquer forma, agora prefiro ir devagar, entender bem a estrutura de privilégios antes de agir.