午夜零点零七，信息科的告警声不刺耳，却足够让所有人同时抬头。屏幕上三条红色提示并列跳出：跳板设备上线、主控提成账户测试转账、仓库端“备份_交付”打包任务触发。像三把钥匙插进同一把锁孔，开始顺时针转动。

周工站在显示墙前，没急着下命令，他先看时间窗：三条告警的触发时间相隔不到两分钟。对方不是随手试试，而是在执行一套“撤离脚本”――设备上线建立通道，转账测试确认出路，打包任务准备搬货。每一步都在为下一步开路。

罗工把镜像闸门里捕捉到的会话摘要拉出来，低声说：“他这次不是改参数，是走流程。连包名都统一用‘交付’。”

纪检联络员没有多问“交付给谁”，她只说：“关门方案b启动。先关路，再关人。公众端不动。”

护士长在门口听得清楚，脸色微微一紧，却很快压下去：“病区群里刚又有人转发‘今晚最后机会赔付’。我已经按口径回了‘别信，核验’。我会继续压住。”

“你那边只要守住三句提醒。”纪检联络员说，“我们这边负责把门关上。”

周工拿起马克笔，在白板上写下四个字：**关门时刻**。他在字下面画了两条粗线，一条标“路”，一条标“人”。

“关门不是冲进去抓。”他说，“关门是把他所有能走的路先锁住，让他自己停在门口。停住了，证据就完整，人也跑不了。”

系统提示在视野边缘亮起：

关门方案b：先关路，再关人；公众端不动

三点合一：通道上线资金测试数据打包=撤离脚本

目标：让撤离动作变成不可抵赖证据

---

###1）先关路：把“走”的动作变成“证据”

凌晨零点十五，技术组先做的不是断网，而是“贴标签”。

罗工快速下达两条操作：

*对跳板设备建立的加密连接进行会话镜像固化，记录握手指纹、证书链、端口特征与流量节奏；

*对仓库端打包任务启动的所有文件读写行为做“目录级审计”，把每一个被压缩的文件名、路径、大小、哈希写进不可篡改的审计日志。

“他要走，就让他每拿走一份东西都留下脚印。”罗工说，“脚印越多，退路越少。”

周工点头：“先别让他感觉到门关了。让他继续走几步，走到门口再停。”

纪检联络员补了一句更关键的底线：“不能让他把数据带走，但也不能粗暴断线导致证据链断裂。镜像优先，拦截次之。”

于是，镜像闸门的策略从“复制放行”切换为“复制后分段阻断”：对方会感觉到系统还在跑，打包进度条也在走，但实际传输到外部的部分会被拆碎、延迟、打散，像一辆车在上坡，油门踩到底却始终上不去。这样做的目的只有一个：**延长他的停留时间**，给线下落点争取窗口。

---

###2）再关钱：让“测试转账”变成“落网坐标”

凌晨零点二十一，主控提成账户再次出现小额转出，金额不大，备注仍旧用“咨询服务费”。这不是赚钱，这是探路――探新账户能不能收，探新卡能不能过，探风控有没有盯上。

资金侧没有立刻全拦。执行端按预案做了“半步卡扣”：允许第一笔测试转出进入“待清算”状态，系统自动触发二级核验并生成“关联路径图”，把目标账户、收款机构、开户信息、常用设备、ip登录记录全部串起来；第二笔转出开始，直接延迟清算并提示补充合同依据。第三笔尝试，则被止付核验按住，显示“需人工复核”。

这套节奏很残酷：让他以为路还通着，但越走越慢，越慢越慌。

罗工看着资金路径图里逐渐亮起的节点，低声说：“目标账户是新开的个人卡，但常用登录设备和共享办公跳板段有关联。还是他自己在试。”

周工把“钱”那条线在白板上圈住：“好。钱给了我们坐标。等他再试一次，我们就能确定他是否已经开始搬离办公点。”

纪检联络员看了一眼时钟：“线下组到位了吗？”

“十分钟。”罗工说。

“够。”纪检联络员说，“让他再多做一点‘自证’，然后关门。”

系统提示闪动：

资金钳制策略：第一笔标记成图，第二笔延迟，第三笔止付核验

效果：不惊动但持续减速，迫使对方停留并重复自证

---

###3）线下合拢：共享办公的门要在“他出门前”关上

凌晨零点三十，线下组抵达共享办公楼下，没有鸣笛，没有拉警戒线，只有几辆普通车辆停在不显眼的位置。纪检联络员强调过：关门的第一原则是“不惊动公众”，第二原则是“不提前惊动目标”。这个时候任何大阵仗都只会让对方加速搬货，甚至毁证。

共享办公管理员已经提前接到风险提示，知道今晚可能有事。她把门禁后台打开，指着最近一小时的记录说：“这台设备半小时前刚连过wi-fi，位置在a区三号小会议室附近。门禁刚刚也刷了一次卡，上去的人戴帽子，看不清。”

线下组没有立刻上去，而是先做“门口封线”：电梯刷卡权限按流程限制到特定楼层；前台登记加严；楼层安全门保持常闭状态。这样一来，对方即使发现异常，也很难在短时间内把设备带出楼。

周工在信息科远程同步看着门禁轨迹，轻声说：“门不是用锁关的，是用时间关的。我们把他的时间关起来。”

---

###4）反扑如预料：回声换成“泄露赔付”，耳语换成“求你帮我”

凌晨一点十分，病区群里出现第二波短信截图，仍然是“补偿金”，但文案更温柔：“您已被纳入补偿名单，为避免信息继续泄露，请尽快完成登记。”看起来像关心，实际上是诱导。

护士长没有让群里讨论，她直接发出一条统一回复模板：

“你只做两件事：不点链接；把短信截图发给管理员。想确认，来核验。别私聊。”

有人问：“他发我名字了，真的很像。”

护士长回：“他越像越说明他在用库存。库存不是权威，是证据。你把证据交出来，他就少一分力气。”

这句“库存是证据”很关键，它把恐惧转化成可操作的动作：交样本。越多人交样本，对方越不敢发；对方越不敢发，回声越小；回声越小，线下关门越稳。

---

###5）门口对峙：没有吵闹，只有“你走不出去了”

凌晨一点二十七，线下组上楼。三号小会议室的门虚掩着，灯光透出一道细缝。里面有人影在动，像在整理行李。管理员用备用卡轻轻刷开门，门开的一瞬间，空气里有明显的塑料加热味――便携路由器长时间工作后的味道。

桌上摆着一台笔记本、一台小型路由、一部插满sim卡的语音网关设备、两块移动硬盘。硬盘上贴着一张白色标签，字写得很随意：**lm-ctrl**。

那个戴帽子的人抬头，脸上没有惊讶到失控，反而像早有预感。他第一反应不是逃跑，而是伸手合上笔记本。这个动作太本能了――想把屏幕藏起来，想把会话断开。

线下组没有动粗，也没有喊叫，只是平静地说：“请保持现状，不要操作设备。我们依法进行核验与保全。”

对方张嘴想说话，喉咙里挤出一句：“我只是临时帮忙搬设备，东西不是我的。”

这句话几乎和所有链条末端的人说的一模一样。周工在远程听到转述时，没有嘲讽，只淡淡说：“临时帮忙的人，不会知道lm-ctrl这个代号。”

线下组按流程让对方出示身份。他拿出身份证，姓名与此前推测的“老梁”并不完全一致，但照片轮廓与门禁人脸高度接近。更重要的是，他手机里有“项目号派发”的聊天记录、有“收款码更换”的转发、有“线下拍照发仓库”的语音。这些不是临时搬运能拥有的权限信息。

纪检联络员在信息科看着这些证据条目被逐个勾选，语气仍然平稳：“先别叫他影子主控。先把他的功能节点对齐：跳板源头操作者、仓库高权限会话参与者、外呼网关配置参与者、赔付商品名创建者。四项只要对齐两项，他就走不出去。”

线下组继续保全设备。笔记本屏幕虽然被合上，但外接电源仍在，系统处于唤醒状态。技术人员按取证规范处理，先封存内存镜像，再固化硬盘镜像，最后才断电。移动硬盘被逐块封袋，标签lm-ctrl被拍照留证。

那个男人看着这些动作，眼神开始变得焦躁。他低声说：“你们这样弄，我会被老板弄死。”

“老板”两个字一出口，房间里所有人都安静了一瞬。因为这不是技术术语，这是组织结构的自白。链条里最怕的就是这种不经意的真实――它不是供述，是情绪溢出。

线下组没有追问“老板是谁”，只说：“你现在最需要做的不是担心老板，是配合依法说明你的功能节点。说清楚，你才有可能自保。”

男人咬紧牙关，没再说话，但手指一直在裤缝边摩擦，像在找一个不存在的出口。可电梯刷卡已限，楼层门已控，他的时间已经被关住。

系统提示在视野边缘亮起：

线下合拢成功：共享办公三号会议室锁定设备组

关键物证：lm-ctrl标记硬盘语音网关跳板路由笔记本会话

情绪溢出：提及“老板”=组织结构自证

---

###6）远程还在动：仓库端的“备份_交付”被迫停在门口

凌晨一点四十，罗工在信息科盯着镜像闸门的流量图，发现对方外联流量突然下降到几乎为零，像被掐住喉咙。与此同时，仓库端打包任务的进度条停在“87%”不动，反复尝试重连。

“他还以为自己在搬。”罗工说，“实际上搬不出去。”

周工看着审计日志里已经固化的文件清单，轻声说：“87%足够了。文件名、路径、哈希都在。哪怕他只搬走一部分，我们也能证明那是‘材料’而不是‘素材’，能证明他在做交付准备。”

纪检联络员点头：“现在可以关路了。拦截升级，彻底断开对外传输。让他在系统里按再多键也没有用。”

技术组按下策略切换：对外传输从“延迟打散”切到“全量阻断”。这是关门的最后一扣：前面给他时间留下自证，现在不给他任何撤退的空间。

---

###7）供述链的裂缝：不是审讯，是“对齐”