适用范围：区分技术机制与业务风险
讨论“区块链风险行业有哪些常见误区”，可以从采用区块链的业务及应用入手。共享账本、智能合约和管理账户承担不同职责，不能用其中一项安全特性推断整个系统安全。以下解释适用于通用技术风险，不构成对具体项目的安全判断。
误区一：不可篡改意味着信息一定真实
NIST《区块链技术概述》将区块链描述为具有篡改可察觉性和抗篡改能力的分布式账本，并将已发布交易不能更改的描述限定在网络正常运行条件下。
记录是否被改动，与记录最初是否正确，是两个问题。例如，业务信息即使被完整保存，也仍需核实录入依据。评估信息可信度，需要分别考察输入过程和保存机制。
误区二：分布式部署意味着没有控制中心
账本分布在多个节点，并不能直接说明应用管理权限如何分配。以太坊智能合约安全文档讨论了单一所有者、角色权限和多重签名等控制方式，说明合约仍可能存在具有特殊权限的管理账户。
因此，理解去中心化程度，需要具体看谁能升级、暂停或执行敏感操作。多重签名能够增加敏感操作所需的同意方，但效果取决于权限配置和签名方是否独立。
误区三：自动执行的合约天然安全
自动执行依赖预先写好的代码。若权限检查或业务条件存在缺陷，系统可能按错误逻辑执行。上述以太坊文档强调访问控制、条件检查、测试和独立审查，且提醒部署后的代码通常难以直接修改。
合约能正常完成预期操作，只说明部分功能路径可用。异常输入、越权调用和边界状态是否得到处理，属于另一层安全问题。
常见问题：通过审计或验证就能保证安全吗
审计提供额外审查机会，不能保证发现所有漏洞。阅读审计结论时，需要关注覆盖的代码版本、检查范围以及发现的问题是否修复；后续改动也不能自动沿用此前结论。
形式化验证的结论同样有边界：它针对明确写出的性质，在相应模型和假设下进行证明。没有被纳入规格的业务要求或外部条件，不能据此视为已经得到验证。
这些方法分别提供不同层面的证据。判断风险时，应把账本运行条件、代码行为和实际管理权限联系起来，避免将某一项检查结果扩大为整个应用的安全保证。