凌晨两点，糖糖睡着了，手里还攥着画了一半的涂鸦。小刘把她抱去床上，盖好被子，回来继续守在电脑前。
三点十七分，监听程序弹出警报。
一个隐藏在教育科研网段内的中继节点，刚刚接收了一份带生物特征标识的数据包。传输协议伪装成学术资源共享，实际内容已被加密。
小刘立即抓取该节点的历史活动日志，发现它在过去一个月内频繁与七个不同国家的服务器通信，每次间隔不超过四小时，且总在地方时间午夜切换目标。
这种规律性不像随机跳转，更像是定时同步。
他调出全球时区对照表，结合服务器地理位置，推演出下一次切换将在两小时后发生，目标区域位于东经24度附近——波罗的海沿岸某国。
此时，李薇也发现了异常。
她在分析转账记录时注意到，三家关联公司在同一天接收款项后，均向同一境外平台支付了技术服务费。那是一家名为“新纪元生命科学协作网”的组织，官网宣称专注于跨国医学研究数据整合。
她搜索该平台的备案信息，却发现其注册地虽在欧洲，实际运维团队无法查证。更奇怪的是，平台每日凌晨三点会进行一次全量日志刷新，旧记录全部覆盖。
她把这一发现发给小刘：“他们在擦除痕迹，但节奏太规律了，反而露出了马脚。”
小刘盯着这条消息，忽然想到什么。
他翻出刚才截获的中继节点通信频率，输入分析模型。结果显示，该节点每次上传数据后，都会触发一次远程日志同步指令，延迟精确到秒。
而这个节律，与“新纪元”平台的日志刷新周期完全吻合。
“不是巧合。”他在对话框里写道，“那个平台就是终点站。”
他立刻构建一个微型测试包，嵌入一段伪造的生物特征标识，通过匿名通道发送至中继节点。
几分钟后，监听程序捕捉到反馈信号。
信号未加密，携带一个自动响应代码和服务器响应时间戳。根据IP地理定位库比对，源头位于立陶宛境内一座离岸数据中心，归属一家无名托管公司。
小刘屏住呼吸，启动取证程序。
他将测试包的发送记录、中间跳转路径、最终响应信息全部打包，加入数字签名和时间戳，生成一份不可篡改的电子报告。
李薇收到文件时，天边已有微光。
她检查了一遍元数据，确认取证流程符合国际标准，随即将其上传至多重加密云存储，并设置自动分发权限。
只要她失联超过二十四小时，这份报告就会自动推送给三家独立媒体和两个公益法律机构。
她站在窗前喝了口凉茶，眼睛有些涩。城市还未完全醒来，街道上只有零星车辆驶过。
小刘关掉最后一台设备，揉了揉太阳穴。桌上放着糖糖留下的画——两个stickman站在电脑前，头顶冒出一个大大的绿色对勾。旁边歪歪扭扭写着：“爸爸和小刘叔叔赢了！”
他拿起手机，给陈默发了条消息：“证据链闭环已完成，攻击源头锁定，数据已固化备份。”
没有立刻回复。
他收拾背包准备离开，回头看了眼办公室。
门缝底下透出一线光。