先明确资料能够证明什么
讨论盗取区块链代币的资料来源如何核验，首先要拆分主张：交易是否存在、代币是否转移、转移是否违背持有人意愿，以及谁应承担责任，是不同问题。技术文档提供解释规则，不是具体案件的证据。本文适用于以太坊交易及 ERC-20 代币记录的基础核验，不直接覆盖所有区块链。
两个来源分别提供哪些依据
以太坊开发者交易文档解释了签名交易、发送地址、接收地址、原生资产金额和输入数据等字段。接收地址指向合约时，交易可能执行合约代码。因此，核验代币转移不能只看交易接收地址，还需理解调用内容。
OpenZeppelin Contracts 的 ERC-20 文档说明，代币合约记录余额，转移数量以整数处理，decimals 用于换算显示数量。因此，核验所谓损失金额时，必须区分原始整数与界面显示的代币数量。
两个来源来自不同文档体系，但主题互补，不等于它们共同证实了某次盗窃。引用时应让每个来源对应具体技术判断，不能以链接数量代替事件证据。
把事件主张对应到可核对的记录
核验材料应明确所属网络、交易哈希、相关地址及代币合约。只有截图、代币简称或转述，往往不足以准确定位记录。还应区分交易的 to 字段与合约调用参数中的接收地址，两者可能承担不同角色。
金额核对要区分 ETH 与合约代币。交易的 value 表示转移的 ETH 数量，并不直接代表 ERC-20 转移量。代币数量应结合调用参数与对应合约的 decimals 理解，不能把文档示例的精度直接套用到其他代币。
常见误判与适用限制
有效签名能否证明没有被盗？不能。签名验证支持技术层面的发送账户归属判断，不能单独证明持有人知情同意，也不能据此排除密钥被他人使用的可能。
识别出转移函数能否证明盗窃？不能。函数名称描述操作，不说明操作是否合法。以太坊文档也提示函数选择器可能对应多个已知函数，因此解读输入数据还需结合目标合约，不能只靠选择器标签。
结论应保留证据边界
严谨的核验结论应分开写明记录显示的事实、技术解释和仍待证实的指控。交易存在不等于盗窃成立，接收地址也不直接等于现实中的责任人。仅有上述基础文档时，可以解释核验方法，但不能确认具体受害者、损失或作案者。