La pratique de nombreuses distros reste de packager des tarballs, par habitude historique des logiciels qui n'étaient packagés qu'ainsi. Quand les tarballs release sont différents de ce qu'il y a dans le SCM, évidemment, c'est un problème...
Et oui, ce type de mode opératoire correspond le mieux aux grades les plus élevés d'attaquants dans la classification ANSSI et certainement les autres classifications similaires - Nation State Adversaries (entre américains, autres occidentaux, russes, chinois, nord-coréens, iraniens, et d'autres, il y a l'embarras du choix !) ou mafia supérieure - la limite entre les deux pouvant ne pas être étanche.