> Активизация мошеннической активности в сегменте СПО явно указывает на финансовую привлекательность.

Неа, скорее на отсутствие, контроля, ответственности и здравого смысла)
Просто пишешь более менее рабочий код.
Рекламируешь его среди гиков, подсаживаешь на него корпов, а потом внедряешь бекдоры.
Просто "тысяча глаз" - это была отличная реклама "мнимой безопасности", которой, как выяснилось, нет и не было.
(Хотя наличие всяких хартблидов, уже намекало что опенсорс это не безопаснее чем закрытый код)

> Плохая новость состоит в том, что отныне придется постоянно с этим жить (как со звонками из СБ банка)- они уже в покое не оставят.

В смысле?
Просто на входе в проект или тщательно проверяешь все-все пулл-реквесты (но тогда проще писать самому) или проверяешь паспорт)
В случае факапа - просто сообщаешь полиции/милиции что вот такой человек нехороший, а там пусть спецы разбираются.