Ich würde im allgemeinen empfehlen bei Checken (spätestens wenn es um OBs geht) nen Coder zu beauftragen und für custom Auftrag inkl. Source zu bezahlen, anschließend einmal den Code überfliegen oder durch eine AI jagen und selber das Projekt zu compilen.
Malware ist da nicht das einzige Risiko, ich persönlich kann mir gut vorstellen dass genug Devs die Hits loggen oder wenn man richtig dreist ist mein Gewissen Prozentsatz der Hits als invalid durchrauschen lassen und im Hintergrund dann an den Dev senden.
Nie vergessen, hier in der Szene sind fast alle Betrüger, und dass die wenigsten vor ihren eigenen Leuten halt machen zeigt eindrucksvoll die Report Sektion.
Edit: bezieht sich selbstverständlich nicht auf Payback, Spotify, Netflix etc sondern um Checker für wertvolle lLogs.