式。不是为了追人，而是为了把“线下渗透”这件事变成证据链的一部分：组织不仅线上扩音，也开始线下渗透；渗透说明压力；压力说明归零；归零说明集中动作。
护士长忽然想起什么：“他们会不会今晚在医院附近搞事？比如假冒窗口工作人员？”
纪检联络员回答得很干脆：“不排除。但群众端只做三步法，任何人自称窗口工作人员，只要让他出示窗口回执编号并在窗口系统核验，就能穿透假冒。我们不追假冒的人，我们追假冒背后的组织动作。”
---
###3）归零前的最后一波：他们开始“送人出去”
下午三点，镜像系统捕捉到互助群里的新话术：
“今晚是最后一次整理互助，之后群将关闭，大家有问题私聊。”
“私聊”是典型的“送人出去”：把群里的人引导到一对一私聊，避免群内记录被整体抓取，也方便对个体分层收费。群关闭前的“最后一次”往往就是收割最后一批恐惧。
护士长看见这条话术，立刻把截图发到信息科。她没有在病区群里转发，不想制造焦虑，只把“最后一次”变成她自己的提醒：晚上要多巡一圈，确保家属不被夜里那句“最后一次”刺激。
信息科这边，罗工把“最后一次”作为时间锚点，与归零窗口“十一点”对齐：“他们在十一点归零前，做最后一次私聊导流。私聊导流意味着收款口会在今晚短时冲高。收款冲高会触发更多风控、更多延迟清算、更多改通道尝试。改通道尝试会留下入网资料。资料就是硬证据。”
周工点头：“他们每一次‘最后一次’，都是一次‘最后一次暴露’。”
纪检联络员提醒：“记住，群众端不追他们的‘最后一次’，群众端追的是‘不付费、不私发’。群众端执行好了，私聊导流就是空转。”
---
###4）十一点观察窗：归零动作开始
晚上十点半，信息科进入一种高度安静的状态。键盘声变少，走动变少，连呼吸都像被压低。不是紧张，而是所有人都在等那一刻：归零是集中动作，集中动作一旦开始，回声会同时出现在多个系统上。
十点四十七分，第一声回声出现：短链服务的解析记录发生变化，同一批短链跳转目标被替换成新的域名。新的域名注册时间很近，隐私代理遮蔽，但DNS解析里出现了一个熟悉的托管服务商特征
本章未完，请点击下一页继续阅读！