Cargo - это кусок дерьма, который поощеряет
1. бэкдоры в коде самой зависимости - никто и никогда не будет ревьювить пакеты из огромного дерева зависимостей, а собранные пакеты вообще ревьювить невозможно. Деревья зависимостей расширяются почти экспоненциально
2. тьюринг-полный язык сборочного инструменттария, что уже пахнет бэкдорами в сборочных скриптах.
3. статическое связывание. Проблема большей частью растная, а не карговая на самом деле.  Жрёт место что на винте что в оперативе.
4. отсюда - пересборку зависимостей - долго
5. 2 + 4 + 1 = Комбо! В сборочный скрипт внедряется бэкдор, который патчит остальные зависимости и вообще сборочную систему, если может. Потом на той же машине собирают другой пакет, который не имеет бэкдорных рависимостей в cargo, но имеет уже заражённые зависимости на компе разраба. И этот софт тоже заражается.

Тех, кто софт с такими drawbackами предлагает ставить на машины конечных пользователей, лечить надо в специальных заведениях.