凌晨五点二十，窗外的天像一张还没完全晾干的纸，灰里透着一点冷白。迁移窗口被钉子钉得越来越窄，新域名、新短链、新收款主体不断触发核验与限流，对方搬箱子的速度被硬生生拖慢。可链条这种东西，一旦正面通路被堵住，往往会钻出一条更隐蔽的暗渠――不是再建一个归集点，而是把“归集”伪装成“回流”。

回流暗渠。

周工在白板上把“迁移窗口”圈起来，旁边写了一个箭头指向“回流暗渠”，箭头上标注两个词：**名目**、**时间**。

“迁移期他们最急的不是引流。”周工说，“是把已经收来的钱安全地洗出来。引流断了可以等，钱卡在账上等不了。回流暗渠就是为了解决这个问题：把灰色收入伪装成合法回款，快速出清。”

纪检联络员抬头：“他们会用什么名目？”

罗工把一组新告警投出来：从昨夜十一点到今晨四点，出现了多笔异常资金回流，走的是“退款解约终止服务”路径。资金从几个看似正规的平台商户账户退回到个人账户，备注统一写“服务终止退款”“合同解除退款”。金额不大，但频次高，且集中在深夜。

“这是典型暗渠。”罗工说，“白天他们怕被看见，深夜退。名目看起来合理：退款。实际可能是把捐助码的钱从归集点拆出来，伪装成退款回到自己人手里。”

护士长听到“退款”，眉头皱起：“病区有人昨天说收到‘退款’短信，以为是官方返还，就截图发群里问。我当时让她核验，但她还是很兴奋。”

周工点头：“这就是暗渠的另一个作用――制造‘到账错觉’，让公众以为返还开始变慢或乱了，从而去找所谓‘内部通道’确认。暗渠一边洗钱，一边带节奏。”

系统提示在视野边缘亮起：

新风险：回流暗渠（退款解约终止服务名目深夜高频）

目的：灰收洗出+制造到账错觉扰乱秩序

抓手：名目聚类+时间聚类+商户链追溯

---

上午六点四十，工作组迅速切换战术：迁移窗口仍要盯，但新增一条主线――**暗渠溯源**。

周工提出一个判断：回流暗渠的关键不在“钱退回谁”，而在“钱从哪个商户退”。如果商户真实经营，退款属于正常；如果商户只是壳，那它就是暗渠闸门。闸门一旦被锁，暗渠就会淤住。

“先找闸门。”周工说，“再看水流。”

罗工把退款涉及的商户列表拉出来：十几家，分布在不同省份，行业标注五花八门――“教育咨询”“软件订阅”“会员服务”“线上课程”“直播培训”。但他做了一个交叉：这些商户有一个共同点――它们的落地页域名与此前迁移包里提到的“会务培训”宣传素材高度相似，甚至二维码模板风格一致。

“同一批内容团队做的。”罗工说，“风格复用太明显。”

纪检联络员立刻下令：把这批商户作为“暗渠闸门候选”，同步做三件事：

1）资金侧：对这些商户的大量深夜退款行为触发风控复核；

2）经营侧：核查其真实经营、发票开具、客服体系、退款规则；

3）技术侧：抓其落地页与短链、广告像素参数，串起与迁移包的联系。

护士长则从公众端补一块压舱石：她在病区群里发了一条非常清晰的提醒――

“任何收到‘退款’‘解约退款’短信，不代表官方返还。官方返还只以编号回执核验为准。不要因为陌生退款去点击链接或找人确认。”

她特意加了一句：“陌生退款更像骗子在搬钱，不是你在拿钱。”

这句话让很多人瞬间清醒：你收到的不一定是你的钱，可能是他们的钱在路上经过你能看到的地方。

---

上午八点五十五，暗渠溯源出现第一个突破点：**退款路径的“聚合支付”**。

罗工发现，这批商户的退款并不是各自走各自的通道，而是大量使用同一个聚合支付服务商的接口。退款请求的api路径、签名字段、回调地址高度一致，只是商户号不同。

“他们把暗渠建在聚合支付上。”罗工说，“聚合支付是通用工具，但如果同一个聚合支付服务商旗下出现异常密集的深夜退款集群，就很可疑。”

周工立即意识到：这是一条更上游的归集点――不是传统意义的收款归集，而是“退款归集”。把灰收分散到多个商户后，再通过统一的聚合支付接口退回到指定账户，既能分散风险，又能快速出清。

纪检联络员果断：“把聚合支付服务商纳入合规协查。我们不指控它违法，但要求它提供这批商户的接口调用日志、退款收款账户名单、以及异常退款的风控处置记录。”

她强调：“暗渠的上游比下游更值钱。下游是水，上游是闸。”

系统提示闪动：

暗渠结构：多商户壳→统一聚合支付接口→深夜高频退款→指定账户

关键：上游闸门=聚合支付服务商接口日志与回调地址

对策：合规协查（日志名单风控记录）

---

中午十二点零七，病区里再次出现“到账错觉”的连锁反应。

一名家属在群里转发截图：“我收到了某某平台退款199，我是不是快返还了？”群里瞬间炸开：有人说自己也收到了，开始互相对照金额；有人焦虑，说“是不是返还开始乱了”；还有人问“要不要先去登记一下”。

护士长没有让讨论继续发酵，她直接发了三条固定话术，并要求所有护士统一口径回复：

1）“退款不等于返还，返还只认编号核验。”

2）“任何因退款引导你点链接登记交费的，都是诈骗。”

3）“把截图发给我即可，不要私聊陌生人，不要在群里公开编号。”

她还做了一件更关键的事：把群聊暂时设置为“管理员发模式”两小时。不是为了控制，而是为了给情绪降温。在迁移窗口里，沉默是一种防护。

群里安静下来后，她单独私聊那位家属，问清楚退款来自哪个商户、是否曾加入过“会务培训”群、是否填写过任何表单。家属说自己前几天确实点过一个“材料说明会”报名页，但没交钱，只留了手机号。

护士长立刻把这个线索交给工作组：“他们用报名页收手机号，再用退款短信触发回访恐吓。暗渠不仅洗钱，还在做二次引流。”

周工看完线索，点头：“暗渠和引流又合流了。说明他们在用‘退款’作为新的钩子。”

系统提示亮起：

暗渠副作用：退款短信=新钩子，引发确认焦虑→引导登记交费