凌晨四点四十四，信息科的灯光依旧冷白，像一层不带情绪的霜。回流暗渠被闸门收紧后，链条的“速度优势”开始丢失：深夜退款频次被限、回调指挥中心被标记、指定账户被止付核验、伪官方短信模板被拦截。对方还会挣扎，但挣扎的方式会变――从“跑得快”变成“跑得乱”。而乱，是供述链最好的土壤。

周工在白板上写下三个字：**供述链**。

“链条不是只靠资金和技术跑起来的。”他说，“还靠人。人一旦开始怕，就会说。说的人不一定是主犯，可能是外包、客服、会务主持、投流运营、短链维护。只要有人开口，供述就会像一串扣子，扣住下一颗扣子。”

纪检联络员拿着一份刚送来的情况通报，语气平稳却带着锋利：“外包运维那条线已经引出两个人：一个负责‘会务培训’的线下协调，一个负责聚合支付对接的技术顾问。两人都在焦虑，因为限流后他们拿不到提成，群里还在催‘把钱转出来’。”

“催转。”罗工抬头，“这是暗渠被堵后的必然反应。堵住闸门，水就会顶住墙。墙一顶住，人就会慌。”

护士长从病区过来，手里是两张新的诈骗样本：一张是“保证金”页面的改版截图，另一张是“退款异常需补缴差额”的短信。她把纸递过去：“他们开始换话术，但收款口还是同一个聚合支付。”

周工点头：“闸门没换说明他们已经没时间。没时间就会把压力转嫁给下游。下游最怕背锅，一怕就会供述。”

系统提示在视野边缘亮起：

阶段切换：闸门收紧→链条失速→内部压力向下游转嫁

机会：供述链启动（外包会务技术顾问客服）

要点：先保全证据，再引导供述对齐节点

---

上午六点二十，工作组启动“供述链四步法”。

第一步：**保全**。

任何供述必须先有证据基础：聊天记录、转账截图、合同模板、域名列表、投放后台截图、退款接口日志。没有保全，供述就会变成故事。

第二步：**对齐**。

供述不追求“谁指挥”，先追求“你负责哪个功能节点”。功能节点一旦对齐，就能把人挂到链上：引流、聚集、采集、代办、转移、洗白、暗渠回流。

第三步：**串联**。

用供述去串联已掌握的模板与指纹：迁移包、新api域名、聚合支付闸门、会务公司、退款商户壳。供述如果能与指纹吻合，就可信；若不吻合，就可能是甩锅或掩饰。

第四步：**扩散**。

供述链的目标不是一次拿下全部，而是让每一次供述都指向下一层更关键的节点：归集点实际控制人、培训资料源头、支付对接人、会务主办人、素材制作团队。

纪检联络员强调：“供述要在合规框架下进行，我们要的是‘结构性信息’，不是情绪性抱怨。”

周工补一句：“结构性信息就是：谁给你模板、你给谁交付、你从哪里收钱、钱最后去哪。”

---

上午八点整，第一个“开口的人”进入流程：线下会务协调员，男，三十岁上下，属于典型的“临时工”角色――负责订酒店、安排签到、发资料、收报名费、引导学员带材料。看起来像普通活动策划，但他知道太多“箱子放哪”。

他一开始很谨慎，反复强调自己只是“接单做会务”，不懂所谓返还。纪检联络员没有急着戳穿，而是用对齐法问他四个问题：

1）你收到的活动资料从哪里来？

2）你用什么渠道收报名费？

3）谁要求学员带材料？

4）活动结束后，材料怎么处理？

他沉默了很久，终于说：“资料是群里发的，一个压缩包，里面有二维码模板、讲稿、ppt，还有一张‘常见问题答疑’。报名费以前用公司收，最近改成个人收，说公司账户不好用。学员带材料是要求的，说现场帮他们‘核验缺项’，我只是照做。材料…活动结束有人会来收走，说要整理成电子档。”

“谁来收？”周工问。

“一个叫‘老梁’的人。”会务协调员说，“他不在群里说话，只在活动前一天私聊我，给我新的二维码和新的收款码。他说最近要‘搬家’，让我别用旧的。”

“搬家。”罗工抬眼，与纪检联络员对视了一下。迁移包里的词终于从模板变成真人口中的词。

纪检联络员继续问：“老梁怎么联系你？手机号？微信？他给你的二维码和短链是什么域名？”

会务协调员把手机交出来，依法依规完成电子数据保全。聊天记录里出现了一个关键细节：老梁发来一条语音，语气很急――“这两天闸门紧，别走平台收款，走个人。别在群里说回执，线下拍照就行，拍完马上发回‘仓库’。”

“仓库。”周工低声重复，“新仓库。”

罗工立刻把“仓库”相关的回传地址与蜜罐捕获的新api域名比对，发现语音里提到的“仓库链接”正是那条新api的某个子路径。供述与指纹第一次严丝合缝地扣上了。

系统提示闪动：

供述1：会务协调员

关键点：迁移包压缩资料收款由公司转个人线下拍照采集材料送“仓库”命中：仓库链接=新api子路径（供述与指纹吻合）

---

上午十点十五，第二个供述对象出现：聚合支付对接的“技术顾问”。他属于灰区里最常见的一类人――懂接口、懂签名、懂回调，却永远说自己只是“提供技术服务”。

他一上来就强调：“聚合支付是合法工具，我只做技术对接，不知道客户做什么。”

纪检联络员没有跟他争合法性，只问一件事：“你对接的这批商户，为什么集中在深夜大量退款？退款回调为什么指向同一服务器？”

技术顾问沉默了。沉默不是因为不懂，而是因为知道这问题躲不过。

周工给出一条“对齐问题”：

“你只回答你看到的‘配置’――商户号绑定了哪些收款账户？回调地址是谁给的？签名密钥谁在管理？退款频控是谁要求放宽的？”

技术顾问终于开口：“回调地址是客户给的，说是他们的‘业务后台’。密钥他们自己管理，我只帮他们调通。退款频控一开始比较严，后来他们说要‘快速出清’，让我把频控放宽，尤其是晚上十一点到凌晨三点。”

“快速出清。”纪检联络员把这四个字记下来。

“谁说的？”她问。

“一个叫‘周总’的人。”技术顾问说，“微信头像是个公司logo，朋友圈看起来做培训。他跟我说这波钱必须在三天内走完，不然会卡住。”

罗工立刻问：“周总给你的企业名称、付款主体是什么？”