Eu tentei uma vez: entender se um projeto é confiável ou não, forçando a olhar o GitHub dele, relatórios de auditoria, e como a atualização de múltiplas assinaturas é configurada. Para ser honesto, eu não sou do tipo que analisa código, apenas olho alguns sinais de “linguagem humana”: se o repositório tem movimento contínuo, se as atualizações são feitas de forma emergencial; se os relatórios de auditoria deixam claro os riscos, se a equipe realmente seguiu as recomendações; se a atualização por múltiplas assinaturas pode ser feita por algumas pessoas com um simples clique, ou se pelo menos há alguma dispersão, e também buffers como atrasos. Depois de olhar tudo isso, acabei ficando com medo de investir… parece que muita “segurança” depende de processos e restrições, e não apenas de um “já auditado”.

Recentemente, vi que uma região está aumentando impostos e regulando de forma intermitente, às vezes apertando, às vezes relaxando, e a expectativa de entrada e saída de fundos muda. Isso faz com que as pessoas fiquem mais ansiosas por “certezas”. Mas agora, estou mais inclinado a: não fazer previsões, primeiro procurar por sinais de confiabilidade, pelo menos para filtrar um monte de histórias que só querem vender uma narrativa. É isso por enquanto.