中午十二点半，返还扩大仍在推进。平台发布周更数据：新增一批编号完成身份确认，线下窗口处理量上升但秩序可控；冒名顶替告警下降，说明高防模式起效；假名单传播源头处置了一批账号；“担保费”话术被网安立案处理数起。

这份周更对外只呈现趋势与区间，对内却给了团队一个很重要的信号：窗口在走，灯在亮。只要窗口在走，境外节点就不至于把所有希望拖进黑水里。

可对方不会让你顺利把境外节点点亮。他们会用更高阶的方式：切割关联，制造“看起来干净”的链条。

---

下午两点四十七，罗工在日志里发现一个“看起来干净”的异常：某境外节点的访问行为突然停了。停得非常干净，像一个开关被关掉。停行为本身不是好事，反而可能意味着：对方察觉到风险，开始撤离、清理、换壳。

“他们开始换壳。”罗工把结论发给周工，“之前有稳定访问，今天突然归零。不是自然波动，像撤退。”

周工立刻问：“能不能从撤退动作里抓到证据？比如清理脚本、删除日志、换证书？”

罗工点头：“可以。撤退会留下新指纹。我们可以把蜜罐参数调成‘诱导型’：让他们以为关掉某服务就安全，实际上我们记录到最后一次登录的设备指纹、最后一次请求的证书链特征、以及新的跳板ip。”

纪检联络员听完，眼神很冷：“撤退就是心虚。把撤退变成证据。”

这就是反渗透的思路：不阻止你撤退，而是在你撤退时给你打标。你跑，你就留下鞋印。

护士长听到“诱导型蜜罐”，轻声说：“别让病区受到影响。”

“不会。”罗工说，“蜜罐只在技术层，不触碰病区数据。”

纪检联络员仍然强调：“风险控制要写进流程。诱导不等于冒险，必须可控。”

周工点头：“我们只诱导他们的脚步，不诱导我们的底线。”

系统提示再次闪动：

境外节点撤退：访问归零疑似换壳

建议：诱导型蜜罐抓撤退指纹（设备证书ip）

目标：把撤退变成证据，为协查加固

---

下午四点，工作组收到一份新的匿名材料：一份境外“咨询服务合同”模板，格式与国内启辰体系的“外包服务合同”高度相似，甚至连某些错别字和段落顺序都一样。更关键的是，合同里出现一个境外收款账户的中间行信息，与周工正在筛查的跨境结算节点高度吻合。

“这不是巧合。”周工看完，几乎立刻下结论，“模板同源。国内外合同同一批人写。”

纪检联络员没有急着把它当作铁证，她按流程让法务与审计共同核验：元数据、格式特征、对照国内模板的版本号痕迹、以及该账户是否与已止付账户存在资金往来。

罗工则用技术方式验证模板同源：比较字体嵌入、段落样式标识、自动编号的隐藏id。这些东西很难伪造，除非你真的拿到原始模板。

核验结果很快出来：高度同源，且账户与国内某个中间通道账户存在多次分拆付款，付款备注统一写“软件订阅续费”。“软件订阅续费”本身很合理，但分拆结构与时间点不合理：每次都卡在风控阈值下，且集中在风险提示发布前一周。

“裂缝找到了。”周工说，“分拆结构就是裂缝。时间点就是裂缝。合同同源就是裂缝。”

纪检联络员把这条线索放进协查材料包，标注为“优先级a”。她在请求事项里明确写：请求查询该境外账户的入账来源、账户控制人信息、以及在特定时间窗口内的资金流向；如符合条件，请求临时冻结或限制交易。

“请求要具体。”纪检联络员说，“让对方知道我们要什么。”

护士长听到“优先级a”，问：“这会不会意味着境外能追回一大笔？”

周工没有承诺：“不确定。但至少它能证明这条链条跨境存在，而且不是孤点。只要证明跨境存在，后手买家与国内壳公司就更难说自己‘不知情’。这会反向增强国内追偿。”

“境外节点也能反哺国内。”纪检联络员点头，“它不仅是钱的问题，也是责任穿透的问题。”

---

傍晚六点，父亲的康复训练结束后，状态很好。他坐在床边，听林昼讲“境外节点协查”“合同同源”“分拆裂缝”，听得很认真，但他仍旧只问一个最朴素的问题：“那钱还能回来吗？”

林昼把“国内先返还、境外增量”的逻辑再讲一遍：“国内的钱已经在回，境外的是再追回一部分。境外节点一旦锁住，就能让更多国内主体不敢接盘，国内返还会更稳。”

父亲点点头，慢慢说：“你们别被境外拖住心。心被拖住，人就会急。”

“我知道。”林昼说，“我们把境外当增量，不当全部。”

父亲忽然笑了一下：“就像我走路。护栏边先走稳，再去走更远。”

林昼也笑：“对。”

护士长查房时在旁边补一句：“境外节点最大的价值，是让对方再也没有‘把钱搬走就结束’的幻想。只要你们追到境外，他就知道搬走也不安全。”

父亲轻声：“搬走也不安全……他们就会怕。”

护士长点头：“对。他们怕，窗口就更稳。”

---

夜里八点二十，协查材料包第一版完成，进入审批流程。审批流程仍旧繁琐：签字、盖章、编号、封存、分发。繁琐是慢，但繁琐也是护栏。境外协查如果不在护栏里走，会被对方抓住任何一个程序瑕疵反打，或让协查部门不愿优先处理。

纪检联络员把材料包放进密封袋，封口贴上编号，交给专门负责送达的人员。她在封口处按了按，像按住一口气：“送达后我们就等回应。回应慢，但我们不能断档。国内返还扩大照常推进。”

周工在白板上写下今天的结论：**裂缝已找到，节点已命名，请求已具体化。**

罗工则把“撤退指纹”打包成证据包，编号封存。他说：“对方撤退越多，指纹越多。指纹越多，协查越好做。”

护士长听到“撤退越多”，冷冷说：“让他们撤。撤得越急，越像罪。”

这句很重，但它表达了一个现实：真正的犯罪链条最怕曝光，不是怕骂，是怕被照亮。照亮之后，它的动作就会变得紧张，紧张就会失误，失误就会留下证据。

系统提示在视野边缘亮起，像为境外节点的第一道闸门落下标记：

境外协查材料包完成并送达：优先级a节点锁定

关键证据：合同同源+分拆结构+时间点裂缝

策略：境外增量不拖国内节奏；撤退指纹持续封存

---

夜深十一点，平台推送了一条对外周更补充：新增一批实际到账确认，执行划拨流程稳定；提醒公众不要传播“境外恐慌”谣，境外协查属于依法程序，不影响国内返还推进。

这条补充的措辞很谨慎，没有说“我们正在追到国外”，只说“境外协查依法推进”。它既不让受害人绝望，也不给对方提前预警。尺度拿得很稳，像走钢丝。

林昼看着这条补充，忽然意识到：窗口体系已经不只是一个执行通道，它正在成为一个新的叙事中心――不靠情绪、不靠爆料、不靠关系，只靠编号、回执、案号、阶段条、周更数据。这样的叙事中心一旦建立，回路再想靠“我听说”操控城市，就会越来越难。

他关掉手机，看父亲已经睡熟。父亲的手放在被子外面，指节上还有一点旧伤的痕迹。林昼轻轻把父亲的手放进被子里，像把钥匙放回锁里。

窗外的城市仍旧亮着。境外节点在地图上很远，但它不再是黑暗。它被命名、被编号、被写进请求事项、被封进材料包、被送进协查程序。慢，但可见；远，但可追。

而当一个城市学会把远处的黑暗也按流程照亮，回路就会明白：它能跑的地方越来越少，能藏的角越来越窄。最终，它会被迫在光下做选择――要么吐出钱，要么吐出更多证据。_c