一、先明确审计要核实什么
区块链既是交易记录系统，也依赖一套维护共同账本的规则。审计应区分三个问题：数据是否保持一致，交易是否符合链上规则，以及记录是否对应真实业务。前两项可以获得链上技术证据，第三项不能仅靠区块链本身回答。
二、哈希链接与默克尔树
比特币开发者指南介绍了两种关联结构：区块通过前一区块头的哈希相连，区块内交易通过默克尔树汇总到根哈希。前者关联历史，后者支持核验交易是否被特定区块收录。
审计中应区分“收录证明”和“业务证明”。默克尔证明可以支持交易属于某一区块的判断，但不会自动证明交易背后的合同、交付或凭证真实。哈希也不是加密，不能因为记录经过哈希处理，就认为交易内容具有保密性。
三、交易状态与UTXO
比特币以未花费交易输出，即UTXO，描述可供后续交易使用的输出。普通交易引用此前输出作为输入，已花费的同一输出不能在有效链上再次花费。
这一模型适合解释资金记录的衔接关系。审计不能只看某笔交易的显示金额，还应明确所核对的是交易输入、输出还是特定时点的未花费状态，也不能把比特币的数据模型直接套用于所有区块链。
四、共识不只是工作量证明或权益证明
以太坊开发文档将共识机制描述为协议、激励与相关规则的组合。工作量证明和权益证明涉及参与资源约束及区块产生方式，但不能单独代表完整共识机制；出现竞争区块时，还需要分叉选择规则。
审计关注这些概念，是为了理解账本状态依据什么被接受，而不是把“网络达成共识”等同于“业务已经审计通过”。协议认可的状态与现实业务真实性属于不同判断层次。
五、分叉、区块标识与确认
比特币可能在同一高度出现不同区块，因此区块高度不是全局唯一标识；链的选择依据累计工作量，而非简单比较区块数量。
核对记录时，仅保存高度可能不足以准确定位证据，还应明确对应区块及核验时点。交易被收录、获得后续确认和达到某种最终性不能混为一谈，具体判断必须结合目标链的规则。
六、常见问题与适用边界
“链上可查是否等于审计完成？”不是。可查询只说明存在可访问的记录，不代表核验范围完整，也不自动建立地址与现实主体的对应关系。
“难以篡改是否等于内容真实？”不是。防篡改机制主要保护记录的一致性，不能纠正录入前的虚假信息。上述概念适用于理解账本核验基础，不能替代具体业务的凭证核对，也不构成对某个项目安全性的结论。