Un nœud complet peut effectivement mentir par omission au client SPV en ne transmettant pas une transaction qui a eu lieu. Par contre, il ne peut pas lui faire croire qu'une transaction existe alors que ce n'est pas le cas.
L'idée c'est que les clients SPV se connectent à plusieurs nœuds choisis aléatoirement pour demander les informations qui l'intéresse. Cela limite les risques. La sécurité est relative mais c'est tout à fait acceptable pour des petits utilisateurs. Pour des gros commerces en ligne par contre, c'est mieux d'entretenir un nœud pour vérifier les transactions de manière absolue.
cf. Mastering Bitcoin, chapitre 8