先判断来源能够证明什么
NIST IR 8202《Blockchain Technology Overview》的摘要将区块链描述为具有篡改可察觉性和抗篡改能力的分布式账本，并以网络正常运行为相关表述的前提。它定位于高层技术概述，适合支持基础概念，不能据此认定某个项目已经通过安全验证。
ethereum.org 的智能合约安全指南讨论权限控制、多签、测试、形式化验证及独立审查，并提醒审计不能发现所有缺陷。这类指南可以支持研究方法的选择，但不是某份合约安全性的实验报告。两者来自不同发布主体，却不能因此算作同一具体结论的重复验证。
把安全主张改写成可检查的问题
核验前应明确对象：研究针对账本完整性、管理权限，还是合约状态约束？“采用密码学所以系统安全”范围过大；“未授权地址不能执行指定管理操作”才便于检查。证据必须对应具体属性，不能用底层账本的抗篡改能力代替应用逻辑正确性的证明。
适用条件也应写清，包括攻击者能力、密钥是否可能泄露、管理员拥有哪些权限以及外部依赖是否可信。缺少这些前提，即使结论措辞明确，也难以判断能否用于另一套系统。
按方法核对证据内容
对于测试结果，应检查输入、预期行为、异常路径及覆盖范围；对于静态分析或模糊测试，应核对工具配置、检测目标和发现的问题。只有“测试通过”而没有测试内容，不能说明未测试的情形同样安全。
对于形式化验证，重点检查形式化规格、模型、假设和实际代码之间的对应关系。证明应限定为特定模型与假设下的指定属性，不应扩大为整个系统不存在任何错误。审计则需核对审查范围、发现项、修复记录和复查情况。
检查版本与可复核性
研究材料应能明确指向被检查的代码版本、编译环境和依赖配置，并提供足以复核结论的方法描述或实验记录。代码修改后，原有结果是否仍然适用，需要重新判断；报告名称相同不代表研究对象没有变化。
整理证据时，可为每项主张记录来源、原始依据、验证方法、成立条件和未覆盖部分。无法取得关键记录时，应标记为证据不足，而不是补推为已经证实。
常见问题：多签或审计是否足够
多签要求多个签名参与授权，但其效果仍取决于签名门槛、密钥管理和参与方是否真正独立；角色分离也不自动消除全部单点风险。类似地，完成审计只是增加一层检查。可靠的核验结论应说明哪些风险得到检查、哪些条件仍需成立，而不是笼统宣称绝对安全。