Недавно проекты часто бросают ссылку на GitHub, потом еще и отчет о аудите, говорят «уже обновили мультиподписы, стало безопаснее», по сути, новичкам непонятно, чему верить… Мой сейчас рабочий способ: сначала смотрю на GitHub, обновляется ли он постоянно, или только меняется README; отчет о аудите не только по обложке с большим логотипом, листаю страницу «Исправлено/Не исправлено», если не завершили исправление и все равно выкатывают — это уже настораживает. Мультиподписи тоже не стоит воспринимать на веру, нужно смотреть, кто подписывает, не меняется ли команда, сколько подписей нужно, можно ли просто так изменить контракт.