适用范围：核对事件事实
“偷盗比特币挖矿机的前提假设怎么核对”可以从资产保护和事件调查角度理解：先核实设备是否缺失、移动是否经过授权，再判断运行和结算是否受到影响。以下方法适用于设备所有者、受托运维人员及获授权的调查人员，不涉及实施盗窃的条件或方法。
先区分矿机、算力和比特币
Bitcoin Developer Guides 的挖矿说明介绍了矿机计算区块头哈希的作用，并区分独立挖矿与矿池挖矿。矿池使用矿工提交的工作份额衡量贡献，再按其规则分配报酬。
因此，设备失窃、算力减少和比特币被转走是不同命题。矿机承担计算任务，持有设备本身不能证明掌握了钱包私钥，也不能证明可以控制此前获得的比特币。核查时应分别确定硬件、矿池账户和钱包的证据范围。
把前提假设拆成可核对的问题
对于“设备已经被盗”的判断，先核对资产编号、采购或托管记录、盘点结果及移交记录。设备暂时不在原位置，也可能涉及维修、迁移或记录遗漏，需要结合授权情况进一步判断。
对于“设备离线就是失窃”的判断，应同时检查现场状态、供电、网络和维护记录。离线只能说明观察到的连接或运行状态异常，不能单独确定原因。
对于“算力或结算变化证明设备被盗”的判断，应对照同一时间段的设备日志、矿池工作份额记录和账户变更记录。不同记录反映不同环节，应避免把一个环节的异常直接解释为整个事件的结论。
检查控制措施，也检查证据质量
NIST SP 800-53 Rev. 5 涵盖访问控制、审计与问责、配置管理、物理与环境保护及事件响应等控制领域，并区分控制功能与对其有效性的可信程度。这些领域可用于组织核查，但不能直接证明某处矿场的措施有效。
实际核查可围绕人员授权、设备出入记录、配置变更和告警处置展开。每项判断应记录证据来源、时间范围及缺口；同时确认日志时间是否一致、记录是否完整。存在门禁或监控系统，不等于相关时段一定留有足够证据。
常见问题：证据不足时怎么表述
只有算力下降，能认定失窃吗？不能，应保留故障、断网及维护等可能解释。发现未经授权的配置变更，能认定硬件被搬走吗？也不能，配置控制和物理占有需要分别核实。
证据不足时，可写为“设备位置尚未确认”“发现未核实的账户变更”或“异常原因待查”，并说明还缺哪些记录。技术原理用于检验解释是否合理，具体责任认定仍需完整事实与适用程序支持。