第一问：来源能支持所讨论的风险吗？
核验首先要明确主张：讨论的是账本记录能否被更改，还是合约权限、代码漏洞或管理密钥风险？这些问题处于不同层面，需要分别寻找证据。来源可靠与结论适用是两项检查，机构名称不能替代具体论证。
NIST IR 8202的摘要将区块链描述为具有篡改可察觉性和抗篡改能力的分布式账本，并将记录发布后不能更改的描述置于网络正常运行的条件下。该报告定位为高层次技术概述，适合解释基础机制；这段摘要不足以证明某个项目不存在漏洞。
Ethereum智能合约安全指南讨论访问控制、测试和独立审查，并明确提醒审计无法发现所有缺陷。这类开发指南能够说明风险机制与防护思路，但不能单独证明某个合约已经落实措施，也不能据此估算整个行业的故障概率。
第二问：结论背后有什么可检查的证据？
把风险主张改写成可核对的问题。例如，声称“敏感操作受到保护”，应进一步核对哪些操作需要授权、谁持有权限，以及异常调用是否被拒绝。指南提出了控制要求，与具体实现满足要求之间，还需要代码、配置或测试结果连接。
阅读研究或评估报告时，应检查研究对象、版本、方法、测试条件和结果是否明确。测试通过只能支持已覆盖情形下的判断；审计结论需要对应审查范围及修复情况；形式化验证的结论也受形式规格、模型和假设约束，不能扩展为所有错误均不存在。
第三问：证据适用于什么范围？
同一风险结论不能自动跨越不同网络、合约版本和权限设计。核验时应保留结论的前提，并检查被讨论系统是否满足这些前提。两个不同机构的页面可以提供不同角度，但若没有检验同一对象、同一主张，就不能算作对该主张的重复验证。
常见问题是“账本抗篡改是否意味着应用安全”。抗篡改描述记录层面的性质，权限配置和合约逻辑仍需单独评估。另一个问题是“通过审计是否足够”。应查看审计针对的版本、覆盖范围、未解决问题及后续改动；缺少这些信息时，只能确认存在审查记录，不能确认当前系统全面安全。