> Или все исходники лично проверяете?

Небольшие исходники лично проверяю (но не досконально, при желании можно запрятать так что не найду).
Большие - верю, ну и результат сборки потом проверяю (обмазываю ограничителями, трафик смотрю, не 100% гарантия, но все же).

> И раз распростанено в какой то мере, значит открытые исходники не так уж и проверяют. ;)

В проприетарщине еще хуже. А как сделать лучше никто в общем случае не знает.

> А если "не читал, но доверяю" исходникам из надежного источика, то аналогично принимаемы и бинарники из надежных источников.

Нет. В этом нет логики. Это такое же абсурдное предложение как убрать сторожевую собаку, потому что все равно через забор можно перелезть.

Разные атаки, разные риски. Если бы вам один и тот же человек на одном и том же компьютере собирал одни и те же исходники, то мб разница была бы менее ощутима. Но в большинстве случаев это не так. Было много случаев когда сборочная система или веб-сервера с бинарниками были скомпроментированы, а исходники нет. Легко представить и ситуацию наоборот.

Очевидно сборка проверенным компилятором не доверенных исходников предпочтительнее сборки непроверенным компилятором не доверенных исходников.