Recentemente, ao verificar o projeto, "foi atualizado com múltiplas assinaturas e também passou por auditoria", e várias pessoas no grupo começaram a automaticamente aumentar sua pontuação de confiança. Meu método simples é: primeiro, verificar no GitHub se há manutenção contínua, não aquelas que não mexem há meio ano e só atualizam o README de última hora antes do lançamento; depois, olhar o relatório de auditoria, o foco não é a capa luxuosa, mas se na lista de problemas há um acompanhamento de "corrigido/não corrigido", de preferência que corresponda às mudanças no código. Quanto às múltiplas assinaturas, não basta olhar só se "3/5 é seguro", quem assinou, se é a mesma equipe usando contas alternativas, pois assinaturas múltiplas pouco transparentes são só um pouco mais confiáveis do que assinatura única. Recentemente, as carteiras de hardware estão em falta, links de phishing estão por toda parte, e é justamente nesses momentos que fica mais claro: as pessoas dizem que segurança é importante, mas na prática ainda são bem relaxadas... Vou revisar todas as autorizações e favoritos para evitar que, se eu acordar mais tarde algum dia, precise fazer ajustes de última hora.