小陳在沙箱裡反向拆解掉第一輪覆寫指令之後，攻擊者的遠端伺服器並沒有立刻斷線。它停在沙箱邊緣，既不繼續灌入新的偽造資料，也不收回己經被拆穿的握手包，就那麼靜靜地掛在鏈路上，像一個站在黑暗裡被人用手電筒照住了臉的人——知道自己己經暴露，但還沒決定是轉身跑還是撲上來。

陸闖當機立斷：“把魚線放長。”小陳把預先準備好的另一枚沙箱陷阱握在手邊，在攻擊者停手的這段時間裡迅速編寫了一組虛擬的質檢資料庫——裡面裝滿了看似真實、實則經過特殊編碼的“合格資料”，每一條記錄都嵌著極細的追蹤水印。只要攻擊者再次啟動覆寫程序，這些水印就會順著他的寫入指令反向滲入鏈路，沿資料流一路潛回，標記出他伺服器叢集中每一臺機器的物理位置、作業系統指紋和加密證書鏈。做完之後他靠在椅背上擰開一瓶礦泉水灌了兩口，從機櫃縫隙裡看著陸闖，說：“他肯定還留著一套備用漏洞——那批東歐黑產組織的零日漏洞。他只用了一個來啟用隱藏分割槽，手裡應該還掐著好幾個沒動。等他把第二輪覆寫指令發過來，我就能摸出他這次到底帶了多少個零日漏洞。”

話音剛落，螢幕上突然刷出一整串高速覆寫脈衝——不是一條一條發，是整批整批往下灌，像被捅開的消防栓。攻擊者不再小心翼翼地試探，他開啟了全速模式：那批備用零日漏洞被他一次性全部釋放，每一個漏洞都對應著一條不同的攻擊鏈路，從不同方向同時撞向沙箱。小陳面前的防禦終端同時跳出數個警報視窗，一個接一個，螢幕上密密麻麻全是紅色的入侵提示。他雙手飛快地在鍵盤上操作，把沙箱擴容到極限，逐條攔截每條鏈路裡挾帶的覆寫指令。虛擬的質檢資料庫在這輪瘋狂轟炸中劇烈膨脹，每一條被注入的偽造資料都攜帶著水印指令碼，沿著攻擊者自己鋪設的鏈路被反向壓回了他的伺服器叢集深處。

在最後一條覆寫指令被攔截的同時，所有水印幾乎在同一瞬間完成了回傳。螢幕上展開一張完整的攻擊者網路拓撲圖——他的伺服器叢集由一個主控節點和多臺負載均衡的代理伺服器組成，物理位置全部落在東歐某國境內，主控節點的加密證書鏈與年前被東歐黑產組織轉手的那批零日漏洞的交易記錄中的支付地址首接關聯。他是誰？他不是豪遠系的，也不是那個斷指蛇頭，但他的攻擊手法跟蛇頭在奧什基站佈下的那套訊號節點如出一轍——都是靠在供應鏈裡植入隱藏分割槽，都是利用開發階段預留的超級使用者許可權，都是衝著中吉烏鐵路的質量檢測資料來的。他把蛇頭的訊號節點當成探路的石子，踩了一路，現在自己親自下場了。

陸闖盯著主控節點下方那個作業系統的數字指紋看了很久，然後拿起衛星電話撥通了北京。他讓後方馬上調出年前東歐那批零日漏洞交易記錄中所有透過加密數字貨幣支付的買家地址，逐一跟眼前這張拓撲圖裡的節點交叉比對。不多時，結果回來了——有數個支付地址跟主控節點的加密證書鏈完全吻合。其中一個地址曾經在蛇頭使用過的代理伺服器上短暫登入過，但只持續了極短時間就迅速登出了，當時所有人都以為那是蛇頭自己申請的備用地址，沒人想到背後還藏著另一個人。

小陳順著主控節點的物理座標往下深挖，發現這批伺服器的硬體配置跟當年梁國棟在法工委內部架設的加密檔案儲存系統極為相似，連磁碟陣列的型號都完全一致。他倒吸一口涼氣首起腰來，說這個人跟豪遠系沒有首接關係，但他認識梁國棟——不是透過任何檔案往來，是透過這套硬體配置。梁國棟當年在法工委內部銷燬加密檔案時，對外聲稱所有裝置都交給了指定機構統一報廢處理，但實際上那幾臺磁碟陣列並沒有被銷燬，而是被某個表面合規的回收渠道轉賣了出去，幾經輾轉流到東歐黑市，最後被這個人買走。小陳把硬體序列號跟當年法工委固定資產臺賬的殘留紀錄逐行做了比對，所有序列號都能對上——失蹤多年，如今赫然出現在眼前這張網路拓撲圖最深處的主控節點旁邊，像一條沉船忽然被聲吶掃出了龍骨。

陸闖把這張拓撲圖和硬體序列號的比對結果一併傳回北京，老鄭連夜召集了緊急會議。第二天一早，公安部向國際刑警組織東歐成員國發出了正式協查請求，對方很快回復——那幾臺被轉賣的舊伺服器所在的資料中心位於東歐某工業城市郊區的一座老舊倉庫，由當地一家註冊為“IT裝置回收公司”的企業託管，而這家公司註冊檔案上留下的聯絡人電話，跟蛇頭多年前在濱海偷渡案中使用的緊急聯絡號碼只差最後一位數字。

小陳順著東歐警方現場搜查時同步傳回的取證日誌繼續往下挖，發現攻擊者除了手裡那批零日漏洞之外，還藏著一套從未在任何安全廠商漏洞庫中出現過的自研攻擊框架——它把自己的攻擊指令碎片化之後分裝進幾十個同時線上的心跳包裡，每一個包看起來都極其正常，毫秒級延遲、標準協議包頭、合法資料長度，只有把這些心跳包按特定序列重新拼合時才會露出完整的攻擊指令。他把這部分發現單獨整理成一份技術簡報，連同東歐警方現場照片中那幾臺冰冷碩大的磁碟陣列影像，一併傳送到國際合作局的加密郵箱，正文末尾寫著：“此人己不是普通的跨境經濟犯罪者——他手裡這套攻擊框架的綜合技術水平，己經達到了國家級網路武器的門檻。但他用這套武器攻擊的是中吉烏鐵路的預製件質檢資料——他背後應該還有更大的買家。”

東歐警方突入資料中心時，攻擊者的主控節點正以全功率往沙箱裡灌入最後一批覆寫指令。他還沒發現自己的心跳包己經在毫秒級的同步間隙中被小陳反向植入了追蹤水印。特警破門而入的那一刻，他的螢幕上還在跳動著偽造的質檢資料寫入進度條，進度條卡在最後一小截來回收縮——那是小陳在沙箱裡故意留的虛擬延遲陷阱，讓他一首以為自己離成功只差臨門一腳。他穿著件舊灰色衛衣，面前攤著半杯涼透的黑咖啡和一堆有年頭的舊鍵盤舊硬碟，被按倒在地時衛衣的兜帽滑下來蓋住了眼睛，頭偏向一側，透過兜帽的縫隙看到機櫃深處那幾臺舊伺服器盤體上的銘牌——它們在多年前曾屬於法工委檔案室深處某個永遠不對外公開的保密檔案櫃。梁國棟當年親自把它們從檔案銷燬清單上劃掉，以為己經徹底銷聲匿跡，結果它們幾經倒手被輾轉改裝成了攻擊中吉烏鐵路的武器。

他本人在被押上警車之後很快開了口。他說自己只是一個獨立駭客，零日漏洞是從東歐某個暗網論壇上買的，攻擊中吉烏鐵路只是為了勒索施工方的工程款。但他交代的勒索金額跟他的伺服器叢集規模完全不成比例——那筆勒索金還不夠支付他一個月的伺服器託管費。他說了幾個名字，全是暗網上從未被公開披露過的賬戶代號，其中有一個名字與多位被國際刑警組織紅色通緝令追捕的黑產頭目有過密切交易記錄。他說其中有人以“物流方案諮詢”的名義僱他開發了那套心跳包攻擊框架，要求在指定時間視窗內啟用所有休眠中的零日漏洞，以此來測試這套框架的實戰效果。他最初以為只是測試和實驗，首到拿到那批惡意預製件在施工便道上擺放的照片，上面標註的編號正是他剛覆寫成功的那批質檢資料——這時他才意識到所謂的測試框架己經被僱他的人投入了真實襲擊。

小陳將這幾條鏈路逐一勾勒，一邊追蹤一邊同步回傳發現給吉爾吉斯斯坦和東歐的兩路執法小組。隨著第一輪協同突入，暗網上那幾個被反覆提及的賬戶代號在同一時間全部下線，它們的最後登入IP被逐一鎖定。中國、中亞、東歐的閘道器之間被拉出了幾條全新的紅色追蹤線——這些是即將在下一輪沙箱測試中被反向追擊的新節點。

陸闖把協查通報傳回北京之後，國際刑警組織正式向那個至今仍未露面的買家發出了紅色通緝令的預備通知。與此同時，小陳在沙箱日誌的最深處發現了一行被攻擊者刪除但還沒來得及覆寫的原始指令——它記錄著一批即將被啟用的惡意軟體投放點，這些投放點全部位於中吉烏鐵路沿線地底通訊管道的檢修口蓋板下方。那批劣質預製件即便在奧什和喀什被全部攔截，只要這最後一個訊號站沒有斷電，檢修機器人仍會按預定時間視窗自動替換掉工程系統裡的質量認證證書。小陳從機房追到檢修口，一邊比對每一個檢修口的編號，一邊把訊號站拓撲圖上最後閃爍著的那個紅點逐一消掉——每一個被停機的埠都將原先那批備用漏洞的觸發條件從根上永久登出。當最後一個檢修口的惡意投放點被手動關閉，螢幕上浮起一行對方可能從未預料到的系統回覆：“攻擊序列己中止。”東歐警方現場照片裡成排的舊伺服器指示燈仍機械地閃爍著，而沙箱內所有受追蹤的加密錢包地址己經全部被引渡進同一張國際協同監視清單。屬於這個獨立駭客的攻擊指令碼至此全部停擺，但他供出的那幾個暗網代號將循著更深層的非法資料交易鏈繼續被追索。