数字资产的存在依赖于区块链的可靠性。
了解关键漏洞有助于更好地评估区块链可靠性。
近几个月来，人们对区块链技术及其网络所能提供的安全性和可靠性多有论述。鉴于在区块链生态系统中，风险与控制可能呈现不同形态，尤其是在支持企业的财务报告流程时，保护数字资产值得进一步探讨。
为何设计有效的区块链至关重要
在传统语境中，资产可通过原始文件或实物观察进行追踪或确认。然而，数字资产以保存在区块链上的数字记录形式存在，通常不再有其他实物形态。数字资产包括以二进制数据表示并附带使用权的各类项目，范围从证书到加密资产不等。若区块链发生故障，企业可能无法通过其财务报告证明该数字资产的存在。因此，数字资产的存在依赖于区块链的可靠性（即区块链技术及其支持网络）。
识别漏洞
可靠的区块链应具备针对其预期用途的有效设计，即正确记录数字资产的创建或转让，并包含以下要素：
通过 部署服务s
由网络借助共识协议达成一致
在分布式账本上由网络赋能方维护
以密码学方式保障安全
由开发者社区提供支持
当上述一项或多项要素存在可能失效的漏洞时，要断定数字资产确实存在可能十分困难。下文我们将探讨其中部分漏洞，以及企业可采取哪些措施来加强其针对区块链可靠性的内部控制。
部署服务
部署服务是指使个人和企业能够与数字资产进行交互的技术与服务提供商。例如区块链浏览器软件、数字钱包、托管服务和交易所。部署服务及其漏洞的类型各不相同，但提供数据服务（例如区块链读取器、分析工具）的服务商在数字资产的存在性方面带来了独特挑战。作为支持数字资产存在性的一部分，人们应查看其在区块链上的记录。
在财务报告中，企业可能会使用某项服务直接读取并报告其数字资产的状态（例如类型、数量、历史交易）。企业获取的信息可能源自区块链，但也可能因软件错误或人为操纵而不完整或不准确。企业可考虑从数据服务提供商处获取服务审计师报告，以支持其内部控制的可靠性。
共识协议
共识协议的目标是确保区块链网络的节点运营方对交易的有效性得出相同结论。共识协议包括以下规则：指定由哪些节点运营方决定在下一个已记录交易区块中应将哪些交易视为“真”而予以接受；运行激励机制以鼓励参与并遏制恶意行为者；以及在节点运营方之间平等共享信息，以形成对事实的共同认定。
当区块链的开源软件包含错误或缺陷时，区块链记录的可靠性可能受到威胁。已有研究在多个区块链的源代码中发现了关键漏洞，若被利用，可能引发非预期的硬分叉（即区块链分裂）。遗憾的是，公共区块链无法获得服务审计师报告，企业自行开展源代码审查可能既不可行也不有效。企业可考虑以合适方式评估代码版本的新进展及漏洞报告。
网络赋能方
网络赋能方是指区块链节点运营方，他们为网络执行验证新区块以及挖矿（适用于工作量证明区块链）等关键任务。大多数节点运营方是诚实的，并基于共识协议的激励机制，致力于维护区块链记录的可靠性。然而，根据共识协议的设计方式，针对区块链网络存在多种攻击途径。曾有针对区块链网络的攻击导致交易被移除、重组和替换。随着区块链网络中节点运营方数量减少，区块链记录的可靠性似乎会随之降低。在区块链的生命周期中，可考虑实施安全策略（例如区块公证、惩罚机制），但这些措施往往会降低交易处理速度。企业可考虑开展自身的监测活动，以了解并应对风险。
安全性
当数据通过区块链式结构经密码学方式相互链接时，区块链技术便具备了安全性。区块链的这一关键特性也给撤销不良交易，或修复由用户失误或设计不佳导致的不可靠智能合约带来了挑战。企业可能需要依赖智能合约所有者运行的内部控制，并考虑就发起交易以及追回智能合约中的非预期交易自行实施内部控制。
开发者社区
每个公共区块链都由开发者社区提供支持，该社区可能由个人、个人团体及正式组织构成。其有效性对区块链的可靠性至关重要。该社区推动区块链的采用，回应用户和节点运营方的反馈，开展源代码的研究与开发，组织版本更新，并进行源代码测试和监测。该社区通常围绕一个为区块链提供治理的非营利基金会组织起来。尽管广为人知的数字资产可能拥有活跃的基金会，但也有许多被弃用的数字资产，其基金会已解散或从未成立。企业可考虑开展自身的监测活动，以评估社区或基金会的有效性、诚信度、人才储备及版本更新情况。
“可靠的区块链应具备针对其预期用途的有效设计，即正确记录数字资产的创建或转让。”
Amy Steele
在考虑该生态系统中的财务报告时，会出现独特的风险与挑战。本文仅初步触及区块链技术及其记录可靠性方面的挑战，而这正是评估企业数字资产是否真实存在的关键考量（世界经济论坛区块链部署工具包（该工具包于上月发布）对这些考量有更详细的讨论）。尽管如此，越来越明显的是，支持可靠性的每个要素都值得进一步分析，但就这些内部控制体系而言，仍有诸多问题有待解决。无疑，世界各地的权威机构正在为企业和服务提供商提出框架、发布指引并提供反馈。企业只有积极主动、精明地应对这些复杂挑战，并借助有效设计的财务报告内部控制，才能充分受益于采用数字资产。
本报告的贡献者包括：Tim Davis，Deloitte & Touche LLP 风险与金融咨询负责人；Brian Hansen，Deloitte & Touche LLP 审计与鉴证合伙人；Peter Taylor，Deloitte & Touche LLP 审计与鉴证高级经理。
