Eu, como colecionador de poeira, o que mais temo não é não conseguir ganhar dinheiro, mas acabar pegando um monte de projetos que parecem "muito estáveis" e no final virarem um caos total... Então, agora não confio muito na credibilidade e não falo besteira. No GitHub, eu olho três coisas: se alguém realmente está mantendo (não ficar sem movimento por meio ano), se as mudanças têm explicação (não só uma enxurrada de "atualizações" para enganar), e se o código principal foi alterado de forma repentina sem explicação clara. Os relatórios de auditoria também não são uma carta de salvação, folheie duas páginas e veja o que está escrito no escopo, se há riscos altos não resolvidos e se eles foram colocados em produção mesmo assim. Atualizações de multi-assinatura são ainda mais importantes: quem assina, quantas pessoas, se há um timelock, pelo menos não deixar uma pessoa com uma única chave para alterar o protocolo. Recentemente, as pontes foram roubadas, ou oráculos apresentaram problemas, e todo mundo fica na "espera por confirmação", na verdade, é melhor não se apressar, primeiro ver como eles vão consertar, como vão reforçar as permissões... De qualquer forma, prefiro pegar devagar e evitar armadilha.