Я раніше теж робив помилку типу «вигідний прибуток — хочу швидко вкластися», особливо останнім часом, коли система заставляння та спільної безпеки була розкритикувана як «паралельна іграшка», чим більше сварок, тим більше хотілося переглянути архіви: спершу дивитись не на кількість зірок на GitHub, а на послідовність оновлень, хто пропонував ключові зміни, чи є серйозні суперечки в issue (якщо там тільки роботи — я починаю сумніватися). Також не варто дивитись лише на обкладинку аудиторського звіту, краще пошукати «не виправлено/відомі ризики/відмови від відповідальності», багато проектів пишуть досить чесно: перевірка — не гарантія безпеки. Оновлення мульти-підпису ще гірше, чи можна змінювати контракт, хто може підписувати, скільки ключів потрібно, — якщо це можна перевірити в ланцюгу, робіть це; якщо поріг занизький або підписантів багато — я зазвичай вважаю, що це «можна змінити сценарій у будь-який момент». Одного разу я читав багато документів і так і не зрозумів, звідки береться прибуток, і в кінці був лише один висновок: «Залишу, бо не розумію, — і справді, згодом хтось викрив зміну параметрів оновлення…» Не заробляєш — не програєш, і це заспокоює.