纪检联络员当即调整资金侧动作：对该个人账户实施更严格的止付核验，并对其关联的多张卡与常用设备指纹进行风险标记。她强调：“动作要精确。我们不是扩大打击面，而是把刀尖对准主控提成。”
周工在白板上写下四个字：**分账即主控**。
“谁能拿到最大分账，谁就能下指令。钱会说实话。”
系统提示亮起：
【供述4：财务对账人】
【关键：项目号对应分账结构（场地/会务/内容/技术/主控提成）】
【命中：主控提成个人账户=指定账户白名单】
【结论：分账即主控，资金刀尖对准最大分账】
---
上午十点零七，影子主控终于“动了一次手”。
仓库镜像节点捕捉到一个高权限操作：试图将“上传文件映射表”中的某类文件批量改名，从“材料”改为“图像素材”。这看似是分类调整，实则是试图在语义上切割——把采集到的回执、身份证、资料照片从“材料证据”变成“普通素材”，降低其敏感性，便于辩解与迁移。
周工看到这条操作日志，嘴角微微一动：“典型主控动作。只有真正懂风险的人，才会先改语义，再搬数据。”
罗工迅速追踪操作者的登录指纹：同一个跳板IP，同一段设备指纹，同一套浏览器特征。更重要的是，操作者在操作前两分钟，曾访问过“白名单账户表”。
“先看白名单，再改映射表。”罗工说，“说明他在评估能不能把钱再转一轮，同时把数据洗成‘素材’。”
纪检联络员立即要求技术组对该操作者的会话进行完整镜像保全，并将其操作轨迹纳入“主观明知与主控证据链”。她非常清楚，真正能压住影子主控的，不是某一句供述，而是这种连续动作：看白名单→改敏感分类→准备迁移。
护士长这时也传来病区反馈：有家属接到电话，对方口气变了，不再温和，而是带着明显威胁：“你不补差额，你的编号会被剔除。我们这边能帮你保住。”
护士长的回复很短：“让他把‘剔除’写进短信，写不出来就是骗子。”
家属照做，对方果然挂断。挂断那一刻，恐吓失去落点，反而变成证据。
“他们开始急到说‘剔除’。”护士长说，“这词太硬了，说明他们已经没耐心演。”
周工点头：“没耐心就会犯错。我们要抓住这波错。”
系统提示闪动：
【主控动作：批量改“材料”分类为“素材”】【证据价值：风险意识+语义洗白+迁移准备】
【对方话术升级：补差额→编号剔除威胁（急躁信号）】
---
中午十二点四十，工作组决定启动一项更高强度但更克制的策略：**诱导其自证**。
这不是引诱公众受骗，而是让影子主控在系统里做一件“必须做”的事，从而暴露更多：比如更新回调密钥、替换跳板、重置权限、迁移数据库。只要他做，就会留下更完整的操作链与指向。
罗工提出技术方案：在不影响公众核验的前提下，对仓库回调接口的某个非关键字段做“软性失效”——让部分回调请求返回“需重新签名”，迫使操作者去更新签名配置。更新配置必须登录高权限后台，必然留痕，甚至可能暴露其本地工作习惯（常用时间段、常用设备、常用跳板）。
纪检联络员强调底线：“不触碰公众，不增加公众风险，所有软性失效只发生在对方系统内部，且可控可回退。”
方案通过后，技术组在下午一点零五完成部署。果然，一点十八分，影子主控再次登录后台，尝试更新回调签名。更新动作中，他打开了一个配置文件，文件路径里出现一个令人熟悉的缩写：**LM-CTRL**。这不是随机命名，更像内部项目代号——链脉控制，或类似含义。
周工盯着那三个字母，沉默了两秒：“这就是主控项目的名字。项目有名字，就一定有代码仓库、有部署人、有付款记录。”
罗工立刻把该代号与云盘发行中枢、仓库版本号v2.7.4进行关联检索，发现发行中枢脚本目录里也出现过同样的缩写前缀，只是被隐藏在文件属性中。供述链、仓库链、发行链终于汇聚到同一个“主控项目代号”。
纪检联络员当场下令：将LM-CTRL作为全局关键字，回溯所有已保全数据：聊天记录、对接文档、付款备注、云盘目录、脚本模板小字标记。她要做的是把影子主控从“一个人”变成“一个系统工程”，因为系统工程离不开组织与资源，离不开现实世界的合同、服务器、付款与人。
系统提示亮起：
【策略：诱导自证（软性失效→迫使高权限更新签名配置）】
【收获：主控项目代号LM-CTRL（配置路径暴露）】
【意义：把“人”升级为“系统工程”，可回溯代码/部署/付款/组织】
---
下午三点半，线下核查有了实质进展。
“会务服务公司”的注册地址是共享办公，前台人员表示“他们很少来，偶尔有人来拿信”。但共享办公的门禁记录显示：近一周有一个固定人脸频繁出入，时间段集中在晚上九点到凌晨两点，正好对应深夜退款出清与仓库高权限操作的时间段。
更关键的是，这个人脸与会务协调员提供的“老梁”微信头像轮廓相近。不是完全一致，但相似度足以作为进一步核验的线索。
纪检联络员没有贸然下结论，而是要求依法获取更高置信度的关联证据：门禁人脸与手机号绑定、快递签收、会议室预订记录、以及共享办公Wi-Fi的设备接入日志。她知道，影子主控最善于切割人身关系，只有多源证据叠加才能封死退路。
罗工拿到Wi-Fi接入日志后，发现一个设备MAC地址在多次夜间接入，且该设备在接入后会立刻与云服务商某个IP建立加密连接。该IP属于仓库跳板IP段。