Т.е. я правильно понимаю ситуацию - какой-то ноунейм пришёл и без проблем напросился мейнтейнером в проект, используемый в практически любом дистре, подмял его под себя, засунул туда бекдор и ни у кого не возникало никаких вопросов? При этом выяснилось все благодаря чистой случайности. Ноунейм накосячил в своём бекдоре, что привлекло внимание чела из майкрософта и он со скуки таки раскопал что к чему. А если бы не накосячил, или тот чел из майкрософта решил пойти попить пива вместо ковыряния в коде xz, то никто ничего не обнаружил бы.
Страшно представить, сколько таких ноунеймов сидят во всей этих тысячах опенсорсных проектов и ждут своего часа выкатить вредоносный патч.