Eu tentei uma vez, fingindo ser um novato para "verificar" um projeto que precisava de uma atualização de contrato e de múltiplas assinaturas, e descobri que o mais fácil não era ver o que ele dizia, mas se deixou ou não vestígios. Primeiro, revisei o histórico de commits no GitHub: será que de repente um monte de código foi lançado de uma só vez, será que só uma pessoa está empurrando mudanças loucamente, há alguém no issue que apontou uma vulnerabilidade de segurança mas ninguém respondeu... esses detalhes são bastante reveladores. O relatório de auditoria também não deve se limitar a "aprovado/não há problemas graves", eu verifico se as questões de alto risco foram claramente corrigidas, se houve uma nova revisão após a correção, de qualquer forma, esse tipo de "sabemos, vamos tratar depois" me deixa um pouco nervoso. Quanto à questão de múltiplas assinaturas, é mais direto: os signatários estão dispersos, o limiar de assinatura é razoável, há atrasos na atualização ou bloqueio de tempo, senão, na prática, é só "algumas pessoas apertando botões juntos", e se algo der errado, ainda podem mudar tudo em segundos. Recentemente, carteiras de hardware estão esgotadas, links de phishing estão por toda parte, agora, toda vez que clico em "atualizar/assinar", paro por três segundos primeiro, prefiro perder uma linha de código do que revisar até meia-noite e descobrir que foi minha própria negligência.