Recentemente, vi muitas projetos que escrevem "já open source / já auditado" como se fosse uma garantia de imunidade, na verdade é só uma estratégia de chamar atenção com uma nova embalagem. Para os iniciantes, acho melhor não focar na capa do PDF da auditoria: vá ao GitHub e veja se há atividades contínuas, se há issues com problemas reais, se foram resolvidos, se há registros de atualizações que só aparecem quando o projeto lança uma moeda ou entra no ar.

E quanto à questão de permissões de upgrade, é mais realista do que o código... Quem tem a chave de múltipla assinatura, quantas pessoas precisam para aprovar, se é possível alterar o contrato ou retirar fundos unilateralmente, se a redação é ambígua, eu já assumo o pior cenário. Recentemente, ao ver staking, segurança compartilhada, e recompensas acumuladas sendo criticadas como "encadeamento de camadas", eu também entendo: uma camada dentro da outra, no final, tudo depende da confiabilidade da chave de upgrade. De qualquer forma, quando vejo "recompensas acumuladas", primeiro tiro uma captura de tela para guardar, depois vou lentamente verificar permissões e histórico, assim minha impulsividade diminui bastante.