Там не про поддельную крипту. А в самом коде может быть функция, которую мог создатель и поставить.
Оставить бэкдор в исходном коде, как бы уже противоречит понятию open-source, потому что, ну… его же видно… исходный код же открытый ёма, какие скрытые функции?