Видно, все снова обсуждают, будет ли проект мигрировать после обновления основной публичной цепочки, или нет. На самом деле меня больше интересует: кто нажимает кнопку обновления. Новички хотят видеть «достоверность», я считаю, что сначала не стоит увлекаться промо-материалами, следуйте по порядку трем пунктам: недавно ли на GitHub только правили тексты или есть реальные код и ревью; не смотрите только на логотип на обложке аудита, ищите прямо разделы «неустранённые/известные риски»; и ещё — мультиподписи для обновления, кто подписывает, сколько ключей нужно, есть ли таймлок. Говорю прямо: даже самая сильная цепочка не защитит от ситуации «мы временно изменим параметры»… Обычно я прохожу по этим трём пунктам, чтобы понять ситуацию.