一、先明确审计对象
区块链相关审计并非单一任务。账本核验关注交易记录及其有效性，智能合约安全审查关注代码、权限和设计是否符合预期。以下主要讨论这两类技术问题，不将其等同于完整的财务审计。
二、哈希与默克尔树：验证记录关联
比特币开发者文档介绍，区块通过前一区块头的哈希连接，交易哈希则逐层汇总为默克尔根。默克尔证明可以用于核验某笔交易是否包含在特定区块中。
需要区分“记录被收录”与“业务事实真实”。包含性证明回答的是记录归属问题，不能单独证明交易背后的商品交付、合同履行或现实身份。
三、共识与UTXO：判断账本有效性
在比特币中，全节点依据共识规则验证区块；有效分支之间的选择依据累计工作量。UTXO指尚未花费的交易输出，普通交易通过引用这些输出构成资金记录的关联。
核验记录时，不能只看区块高度，因为不同分支可能出现相同高度的区块。应明确所核验的区块及链状态，避免把暂时出现的记录视为不再变化的结论。
四、权限控制：明确谁能执行敏感操作
以太坊智能合约安全文档强调访问控制，可采用所有者权限、角色划分和多签管理。输入检查、内部不变量与异常回退，也是约束执行的重要机制。
权限审查不仅看是否存在管理员，还要看权限范围是否符合设计。角色分工和多签并不自动消除集中风险；如果权限仍由同一控制方掌握，管理结构的实际效果就可能与表面不同。
五、代码验证：不同方法回答不同问题
合约质量评估可结合单元测试、静态分析、动态测试、形式化验证和独立审查。测试检查选定情形，形式化验证则针对明确规格与模型证明特定性质。
因此，“测试通过”不等于所有情况都安全，“完成形式化验证”也不等于整个系统不存在错误。判断结论时，应同时阅读覆盖范围、假设条件和未验证部分。
六、常见问题：链上可验证是否等于无需审计
不等于。共识规则保障的是协议层面的有效性，不会替业务方确认需求是否合理；代码按设计执行，也可能执行了有缺陷的设计。
安全审查同样不是永久保证。结论应对应明确的代码版本与配置；后续修改涉及权限或逻辑时，需要重新评估相关部分。技术审计的价值，在于说明验证了什么、依据是什么，以及仍有哪些边界。