对策：统一口径+短时静默降温+线索回收不公开编号
---
下午两点四十，聚合支付服务商的合规反馈到位了部分：在依法合规范围内，它确认这批商户存在异常退款行为，且退款收款账户集中指向一小批个人账户与一家新注册的“咨询服务公司”。更关键的是，退款回调地址（用于接收退款成功通知的服务器地址）与蜜罐捕获的新api域名属于同一云服务商、同一段ip资源池。
“暗渠闸门和迁移仓库门连上了。”罗工说，“他们把新仓库当作退款回调中心。钱从壳商户退出来，回调通知进新仓库，再由新仓库指挥下一步分配。”
周工立刻把白板上的结构改成新的闭环：
**会务培训报名页（收手机号）→壳商户（收款退款）→聚合支付接口（统一闸门）→新仓库回调（指挥中心）→指定账户（出清）**
旁边又写一行：**退款短信（钩子）→回访恐吓（逼交费）→线下会务（采集）**
“这是双闭环。”周工说，“一个闭环洗钱，一个闭环收割。两条线互相喂。”
纪检联络员迅速做出决策：对“指定账户”实施临时止付与核验升级，同时要求聚合支付服务商对该批商户启动“**险商户处置流程”：提高退款风控阈值、限制深夜退款频次、要求补充经营证明。她的原则仍旧是那句：不一定一刀砍死，但要让它不敢跑。
“暗渠跑得越快，越依赖深夜。”她说，“我们把深夜闸门收紧，它就会慢。慢了就会堵，堵了就会露头。”
系统提示闪动：
关键串联：退款回调地址≈新api域名同ip资源池
结论：新仓库=暗渠回调指挥中心
动作：指定账户止付+聚合支付**险处置（限制深夜退款频次）
---
下午四点二十，反扑再次升级为“伪官方到账通知”。
一批短信开始传播：“恭喜您已进入返还名单，点击确认领取。”短信末尾附短链，落地页做得像官方公告，甚至有编号输入框。输入后会提示“需缴纳解冻保证金”，金额不高，但足以骗很多人。
护士长看到这条短信样本时，后背发凉――这是把“退款钩子”升级成“到账钩子”。在迁移期，他们越急，就越敢用更赤裸的方式收割。
她立刻把短信样本发到群里，但只截取关键部分，隐藏短链完整地址，避免有人误点。她用非常简短的语气告诉大家：
“官方不会发‘恭喜进入名单’短信，更不会让你交保证金。收到立刻删除，截图给我。”
纪检联络员同步要求平台与运营商快速拦截该短信模板，并将其短链域名加入核验黑名单与拦截库。罗工则通过短链解析发现：该伪官方落地页仍然使用暗渠同一聚合支付接口的支付收款码，只是换成“保证金”名目。
“暗渠又露了。”罗工说，“他们把聚合支付当作万能收款口。收捐助也行，收报名费也行，收保证金也行。”
周工看着那串接口字段，语气很稳：“万能收款口，意味着他们只有一个稳定的闸门。闸门一旦被收紧，所有钩子都会失效。”
系统提示亮起：
反扑升级：伪官方“进入名单”短信+保证金收割
关联：仍使用同一聚合支付接口收款码
关键：闸门稳定=可收紧的单点
---
傍晚六点，父亲的康复训练照常进行。今天他走到了三十五步，虽然最后几步仍然慢，但脚步比前几天稳。走到尽头他停下，望着窗外的天色，突然问林昼：“你们今天抓到什么了？”
“回流暗渠。”林昼说，“他们用退款洗钱，用短信当钩子。”
父亲点头：“暗渠听起来像水。”
“对。”林昼说，“我们找到闸门了：聚合支付接口，还有新仓库回调。”
父亲沉默了几秒，说：“水怕闸。闸紧了，水就淤。淤了就臭，臭了就没人敢靠近。”
护士长站在一旁，轻声补充：“公众不靠近，才是真的安全。”
父亲笑了一下：“你们把灯照到闸上，水就不敢夜里流。”
林昼听着这句话，忽然觉得今天的战果比抓到迁移包更关键。迁移包是他们搬家的说明书，而暗渠闸门是他们把钱搬走的水道。说明书被抓，他们会换话术；水道被堵，他们就会断气。
---
夜里九点十五，工作组完成暗渠专项简报，核心结论明确：
1）回流暗渠通过多壳商户+统一聚合支付接口+深夜高频退款实现出清
2）退款短信与伪到账短信被用作新钩子，引导二次收割
3）退款回调地址与新api域名同源，说明新仓库兼任暗渠指挥中心
4）下一步重点：收紧聚合支付闸门（深夜限频**险商户处置指定账户止付）并持续捕捉迁移指纹
纪检联络员在简报末尾加了一句更像原则的话：
“把闸门收紧，不是为了惩罚所有退款，而是为了让异常退款失去速度优势。”
罗工补一句：“速度优势一旦失去，暗渠就会变成明渠，明渠就会留下证据。”
护士长在病区把“退款与返还区分卡”更新为最新版，放进每个护士口袋里：
*退款≠返还
*名单短信≠官方
*保证金=诈骗
*核验只走公告页
午夜零点三十，城市的风又轻了一些。迁移窗口还在，但门牌已被点亮；暗渠还在试流，但闸门开始收紧。林昼坐在父亲床边，看着公告页上准时更新的通报，心里很清楚：对方能换的皮越来越多，能走的路越来越少。路少到最后，他们只能在水道里挤――可水道一旦被收紧，挤出来的不是逃生，而是证据。只要证据不断，所谓暗渠就不再是黑暗里的流，而是光下的一条线――一条通往源头的线。_c