先区分方法依据与事件证据
核验研究时，首先明确它要证明什么：交易满足了花费条件、某个系统出现异常，还是私钥已经泄露。这些命题需要不同证据，不能仅凭交易被记录就认定密钥失窃。
NIST SP 800-86讨论如何将计算机和网络取证融入事件响应，涉及文件、操作系统、网络流量与应用等数据来源。其定位是信息技术调查指导，并非完整的司法调查操作手册，也不提供特定区块链事件的结论。该来源适合支撑取证方法的讨论。
检查技术文档的适用条件
Bitcoin交易参考文档说明了输入如何引用先前输出，以及脚本如何设置和验证花费条件。其列举的ECDSA签名检查涉及公钥、签名和SIGHASH指定的数据。这些内容可用于解释相应交易结构与签名验证机制。
引用上述机制时，研究应交代网络、交易类型、脚本规则和软件环境。文档片段包含历史版本描述，不能把其中的版本表述直接当作当前所有交易的规则，也不能将比特币的具体机制推广到所有区块链。
让证据能够被独立复核
对交易层面的主张，可检查研究是否提供交易标识、输出索引、相关脚本及必要的原始数据。输入引用的是某笔交易的特定输出；只有地址截图或金额展示，通常不足以复核完整的花费关系。
对系统层面的主张，可检查是否说明日志或文件的取得方式、采集时间、保存过程与分析步骤。保留原始数据、记录工具版本并区分原件与分析副本，有助于其他研究者检查结果。文件哈希可辅助核对内容一致性，但不能单独证明数据来源真实或采集过程可靠。
签名有效能否证明密钥安全
有效签名支持相应密码学验证关系，却不能独自说明是谁操作、是否经过授权，或私钥是否曾被复制。合法持有者签名与攻击者取得签名能力后签名，可能都通过同一验证规则。
因此，声称密钥泄露需要补充与泄露路径相关的证据，例如终端取证结果或访问记录，并说明它们如何关联到目标交易。缺少这类关联时，结论应停留在已验证的交易与脚本事实，不能升级为身份归属或失窃原因已确定。
两个来源是否足够
来源数量不能替代证据匹配。NIST指南与Bitcoin技术文档分别提供方法背景和协议解释，属于不同角度的依据，却没有共同验证某次安全事件。
可靠的研究应让每项结论对应可检查的材料，同时列出适用条件、缺失数据与其他可能解释。核验重点是读者能否沿着原始记录、分析步骤和推理过程复核结论，而非参考文献是否足够多。