“教授”服务器里拷出来的数据在加密空间躺了三天，叶诤才腾出手来细看。
不是懒。数据量太大，光解密就吃了系统将近六十个小时。等最后一块拼图还原完，ar界面里弹出的第一条信息就让他后背离开了椅背。
一份通讯录。
不是普通通讯录。是韩坤加密芯片里藏得最深那份——所有跟他做过生意的中间商，按行业分类、按交易额排序、按信用等级标注。每个暗网id后面挂着一个加密im联系方式。
而那个加密im，系统之前从没真正破解过。上回从韩坤手机里提聊天记录，用的是物理扣押后本地解密，等于拿钥匙开锁。这回不一样——手上只有一份加密通讯录，没手机，没密钥。
“技术小哥，这个能解吗？”
技术小哥凑过来扫了一眼协议特征码，眉头拧起来。“椭圆曲线加密，密钥每次会话都在变。没本地设备的话，暴力破解至少——”
“多久？”
“两年。算力全开。”
叶诤笑了一声。两年过去，骗子早换号了。
他调出系统技能栏，翻到一个很久没碰过的奖励——“数据分析入门”。追踪赵德柱时候拿的，当时觉得入门而已，没啥用。现在盯着那个加密im的协议特征，忽然反应过来，所谓“入门”，可能不是指难度等级。
是入别人的门。
【技能“数据分析入门”可应用于当前加密通讯协议。应用方式：不暴力破解密钥，反向分析通讯流量中的行为模式特征。消息发送时间间隔、长度分布、会话建立与断开频率——这些行为特征无法加密。】
叶诤愣了一瞬，猛拍桌子，把技术小哥吓一跳。
“不是破密钥。密钥每次变，但人发消息的习惯变不了。回复速度、打字间隔、用词偏好、会话时长——加密壳包不住这些。抓足够多数据包，用行为特征建模，就能反推出谁在跟谁说话、是不是在砍价。”
技术小哥张了张嘴，只说了句：“你确定？”
系统已经开始跑了。几千条加密通讯数据包被逐层展开，密钥原封不动，碰的是外面的东西——时间戳、包长度、发送间隔、响应速度。单独看毫无意义，放一块儿就像隔着墙听人聊天。听不清内容，但能听出语气。快的是闲聊，慢的是谈条件，大段停顿后突然加速的是砍价。
三分钟，第一份行为模式报告弹出来。三百多条原本看不出任何内容的会话，被按行为特征重新标注了标签：商务谈判、价格确认、交付协商、纠纷处理。每个标签后跟着双方id和会话时长。
技术小哥盯了半天屏幕：“这他妈就是隔墙听声。”
叶诤已经在翻通讯录了。所有联系人被行为特征重新分组后，一个从没在韩坤列表里出现过的id浮上来。
备注名：“st”。
韩坤给每个联系人都写备注——行业、地区、信誉等级。但“st”的备注栏空的，什么都没有。会话次数极少，三次。每次都极短，单向发送，韩坤从不回复。
“单向发送。”技术小哥也注意到了，“谁敢给韩坤发消息让他不敢回？”
叶诤点开三条消息的行为特征。每条包长度几乎一样，短、紧凑、没废话。发送间隔毫无规律，隔好几个月。响应速度不存在。
这种模式他见过。韩坤跟“教授”的聊天记录里。区别是“教授”跟韩坤有完整对话，“st”只发不收。
他把三条消息的时间戳拉出来跟韩坤行程对比。第一条发送当天，韩坤飞上海。第二条当天，韩坤账户多了五十万usdt。第三条——韩坤被抓前一天。
【“st”身份追踪中。已穿透三层加密代理，正在溯源物理节点。】
几秒后结果弹出来。物理节点位置让办公室里安静了好一会儿。
某市教育考试院。
不是学校，不是培训机构。是教育考试院——管全市学生成绩、学籍档案、升学志愿的地方。
“韩坤跟教育考试院的人有联系？”周武声音里带着不确定。
“不是韩坤。”叶诤把屏幕转过去，“这个‘st’不跟韩坤互动，只发命令。他不是中间商的上游，是数据来源的上游。”
继续往下翻“st”相关数据流，系统自动关联上“饕餮”平台的其他交易记录。好几条交易备注里出现了同一个缩写——“ysu”。
“ysu？啥意思？”
叶诤也猜不出来。让系统检索所有含这个缩写的加密通讯，跳出三十多条，全部跟教育行业数据交易有关。
随手点开一条，描述很简短：“某市高三学生心理韧性评估报告，含抗压能力评分、家庭经济压力指数、社交孤立度。可作为易感人群筛选依据。”
手指停在屏幕前。易感人群。念了好几遍，全明白了——高考前夕的家长最容易被骗，这不是经验，是数据。有人用学生心理评估报告，算出哪些家庭焦虑指数高、抗压差、最容易在接到“包上名校”电话时转账。
不是倒卖学生信息。是用学生数据，筛选骗他们的家长。
“周武，三月份那批高考诈骗案，记得吗？家长接到电话说能搞内部指标，转账后对方消失。”
周武翻开手机记录：“二十三起，涉案四百多万。查了两个月，发现所有被骗家长的孩子都参加过某市统一模拟考——但成绩是保密的，想不通骗子怎么拿到的名单。”
“不是成绩。”叶诤指着屏幕上那条描述，“是心理评估报告。骗子不知道孩子考多少分。他们只想知道哪个孩子的家长最容易骗。张三妈妈焦虑指数高，李四爸爸抗压差，王五家里经济压力大。每一步都是数据算出来的。”
技术小哥倒吸一口气。
叶诤没继续追“st”，那条线牵涉太深。但“ysu”和“易感人群”的逻辑让他冒出一个念头——骗子用数据筛受害者，他能不能用数据预测骗子的下一步？
调出系统任务栏，翻到一个没碰过的功能：虚拟沙盘训练。很早解锁的，说能模拟信息泄露应急响应，一直没空练。
现在不一样了。要去南极跟“教授”正面交锋，光反应快不够。对方有数据，有算法，有卫星地面站。他需要预判。
“系统，加载虚拟沙盘。”
反诈中心从眼前消失，换成了一套完全仿真的电商安全运营中心。三排工位，满墙大屏，告警灯闪个不停。叶诤站在中间，周围是ai生成的虚拟同事，正慌乱打电话。
深吸一口气。
第一轮。流量分析定位异常出口，追跳板，穿透五层，锁定东南亚ip。一小时十七分钟。评分b。太慢了——真出事的每一分钟都有几千条数据被转卖。
第二轮。换思路，不追出口，分析买家行为模式。数据泄露后买家会在暗网发帖、在“饕餮”更新商品、在加密im联络下游。这些特征没法完全藏。让系统模拟买家行为路径图，反推数据出口。四十二分钟。评分a。
第三轮。不追数据了，追供应链。诈骗团伙要设备、服务器、加密通讯软件、洗钱通道，这些采购在明网上多少留痕迹。沙盘加载了一批模拟购物记录——近三个月所有购买境外sim卡、群发设备、加密通讯终端的订单。数据量大，筛了一圈，找到七个采购模式和诈骗活动时间高度重合的账户。
其中一个收货地址，柬埔某市。灰黄色厂房，周围荒地。跟上次国际刑警回传照片里那栋一模一样。
二十一分钟。评分s。
【虚拟沙盘训练完成。可熟练运用流量分析、行为模式识别、供应链溯源。新增被动效果：真实应急场景中反应速度额外提升25%。】
关掉沙盘，窗外天已黑。凌晨两点，不知不觉练了将近六个小时。正要起身接水，系统弹出一条新提示。
【检测到沙盘训练数据中包含异常数据包。加密方式非民用标准——疑似军用级。该数据包在“供应链溯源”环节中被标记为购买境外通讯设备订单附件。正在深度解析。】
军用加密。水杯搁下了。调出详细日志：订单内容是三百台加密通讯终端，收货地址东南亚，这没啥特别——诈骗团伙批量采购通讯设备是常规操作。
但订单附件里藏着一小段额外加密数据。不是普通aes或rsa，是从没见过的协议——包结构极紧凑，没多余填充字节，签名算法不是商用标准。更像军用通讯的玩意儿。
【深度解析完成。加密协议与已知军用跳频通讯加密算法相似度87%。数据包内容部分解密：一组gps坐标，一段加密文本。gps坐标与“教授”服务器所在私人卫星地面站位置重合。加密文本未完全解密，识别出三个关键词。】
屏幕上弹出：
【观测者】【30年】【南极】
叶诤盯着这三个词看了很久。分别在三个场合见过，但从没出现在同一个数据包里。现在被军用加密打包，挂在诈骗供应链的采购订单里。
谁发的？“教授”？“教授”的上线？还是观测者本人？
更让他在意的是，为什么沙盘训练数据里会有这个？虚拟沙盘理论上只用公开信息生成模拟环境，不该出现真实军用加密数据。除非——系统生成沙盘时自动从“教授”服务器备份里调用了真实数据当素材。
也就是说，这个数据包不是模拟，是真实存在的。之前解密只针对“教授”本地文件，没碰到这个藏在采购订单里的加密附件。是刚才供应链溯源训练，无意间翻出来的。
“技术小哥，帮我查一下，去年有没有军方通讯设备丢失的通报。”
技术小哥揉揉眼睛，敲了几下键盘：“没公开通报。有个内部预警——去年九月，某军用通讯研究所一批测试用加密终端在运输途中丢了三台。通报写的是‘未造成泄密风险’，因为加密芯片有自毁功能。”
“如果自毁被人绕过了呢？”
技术小哥沉默了几秒，缓缓点头。
叶诤重新看向那三个词。他爸在南极失踪。观测者说过“三十年前的你也在南极”。“教授”的终极买家指向南极。军用加密协议出现在这条数据链的采购订单里。碎片正在以没预料到的方式拼起来。
手机震了。周武的消息：“刚接通知，南极科考站那边有个国际合作项目，要国内派人做数据安全评估。名单里有你。”
叶诤盯了半天，笑了一下。刚查到南极，南极邀请就来了。太巧了。
回了两个字：“接。”
站起来走到窗边。bj凌晨两点的街道很安静，路灯拉出长长的橙色光带。但ar界面里，一张全新的数据地图正在展开——从“教授”服务器到军用加密协议，从教育考试院心理评估报告到南极卫星地面站。
明天开始，不再追着骗子跑。
要走到他们前面去。