Bei F-Droid seh ich das Problem nicht so sehr, da die APKs vom F-Droid-Team aus dem Quelltext selbst gebaut werden. Das Problem besteht eher, wenn man die APK direkt von Github, also vom Entwickler selbst, installiert hat. Da fehlt die Gewissheit, dass Quelltext und Binary übereinstimmen.