1. Hab ich so auch gesagt. Man kann sich da reinlesen, Gerade Murena ist super shady und was die tun ist entweder massiv veraltet und unentwickelt (QKSMS, Bromite, …) oder geht andauernd kaputt (wechsel auf Quik und Cromite) und am Ende trotzdem unsicher. Einfach GrapheneOS nehmen, oder darauf aufbauen, ist ja extra so permissive lizensiert.
2. Neostore hatte das letzte Update Mai 2023, also nein. Droid-ify hat auch repositories vorinstalliert aber nicht aktiviert, weiß nicht ob da nicht noch ein paar fehlen (mobilsicher, simplex, …)
3. Ich verwende Obtainium in kombination mit F-Droid basic und den genannten Repos. Ist sau umständlich aber ich verwende dann F-Droid basic nur als Feed, kopiere die quellen URL und füge sie in Obtainium ein. Gerade drittanbieter-repo apps sind sonst fast unmöglich. So gehts, aber Obtainium ist überkomplex und gleichzeitig unvollständig.

Ja, das ist halt das Ding. Bei F-Droid sollte man wenn möglich die Izzyondroid version nehmen, das sind einfach immer die Github release APKs und damit eigentlich das bessere Obtainium (aber man muss dem repo halt bei der ersten installation vertrauen). Theoretisch könnte man also die APK von Git* herunterladen, und ab da mit izzyondroid updaten (der android package manager vergleicht die signatur, public/private cryptography und so, die app kommt also von derselben quelle)

Ich bin mir aber ehrlichgesagt mit Molly nicht so sicher, das update für usernames hat ewig gedauert, und die Vorteile sind minimal.