Eu, que faço interações diárias de check-in, tenho mais medo de cair em armadilhas que parecem projetos legítimos... Agora, minha avaliação de confiabilidade geralmente começa verificando três coisas: se o GitHub está sendo atualizado continuamente (não algo que foi tudo enviado de uma vez numa única noite), se o relatório de auditoria é compreensível em algumas frases simples (pelo menos entender o que foi auditado, o que não foi, se há riscos altos não corrigidos), e se a atualização de permissões é por multiassinatura, se os signatários estão dispersos, e se há atrasos. Para ser claro, contratos que podem ser atualizados livremente, mesmo com altos ganhos na cadeia, eu não considero algo tão estável quanto “títulos do tipo US debt/RWA”... Enfim, meu hábito é: posso testar com pequenas quantidades na interação, mas mantenho uma postura de backup ao máximo, deixando uma margem de segurança, não colocando toda a confiança em um único botão.