> Никто этого не делает, все думают, что найдётся какой то
> человек который это сделает и укажет на нехорошего разработчика пальцем, но...

И на этом основаны действия всяких отдельных кулхацкеров, подкидывающих вредоносы через npm, GitHub и т.д. Но не действия крупных сообществ разработчиков. Всё-таки репутация. А по поводу Deepin - срач имеет место быть, но массового фе не наблюдается.

https://www.deepin.org/en/2018/04/14/linux-deepin-is-not-spy.../

vs

https://www.quora.com/Is-Deepin-OS-a-spyware

Я сам не доверяю китайцам, но любая разумная паранойя должна иметь некие пределы.

"Also, I think it’s somewhat silly to worry about Chinese spying from a Linux distro when we all use motherboards made in China. If China wanted to spy on foreign computers (or do anything else sinister) the efficient way to do it would be to begin shipping us motherboards with damaging firmware. Making an open source operating system where everyone can monitor the code to try to spy makes very little sense to me. There are many more effective ways the Chinese government could try to spy on people both inside and outside of China." (https://forum.manjaro.org/t/is-deepin-de-a-spyware-debunked/...)

- весьма здравое суждение, как по мне.