这一次恐慌直接打击的是“最后贷款人本身”。

最后贷款人一旦被怀疑，系统性恐慌会放大十倍。

这就是“准备金挤兑”。

周砚在凌晨紧急会上只说一句：

“现在断路器保护的，是清算所的心脏。”

---

###十二、准备金挤兑的处理：先切换心脏，再解释心脏

清算所技术委员会立刻提出两步：

1.**密钥轮换**：立即切换快照签名密钥至备用体系；

2.**多重签名**：临时增加第三方签名数量，形成多签共识；

3.**零知识验证摘要**：用不暴露密钥的方式让外部验证签名有效性；

4.**公开审计**：邀请独立密码学审计团队介入。

周砚强调：

“顺序很重要：先切换，后解释。挤兑时解释没有用，稳定才有用。”

这句话听起来像“先救火后查原因”，但在信任体系里同样成立：

你要先让系统还能运作，才有机会把事实讲清楚。

清算所启动“心脏切换”预案：

*快照签名切换到备用密钥；

*所有新快照采用多重签名；

*旧快照仍可验证，但标注“切换前签名”；

*与此同时，断路器利率上调，防止套利请求趁乱涌入；

*微型窗口扩大到更多中小企业，避免信任贫富差距引发更大恐慌。

两小时后，系统压力指数回落，挤兑指数从极高降到高，再降到中。

恐慌被止住了。

---

###十三、事实的揭示：漏洞不是密钥被盗，而是“误用”

天亮后，独立审计团队给出初步结论：

没有发现密钥被盗。

所谓漏洞来自一个“密钥调用接口的误用”：某次演练环境的配置被错误地推送到生产环境的一个边缘节点，导致监测系统误报“密钥异常”。

这是一个技术错误，但它的传播被通胀放大成“密钥漏洞”。

通胀环境里，任何误用都可以被解释成阴谋。

因此修复必须更彻底。

清算所发布公开复盘摘要：

*错误路径；

*影响范围；

*为何不会导致密钥泄露；

*已采取的切换与多签；

*未来如何防止演练配置污染生产。

同时，清算所把“演练环境隔离规则”升级为硬性条款：

任何演练配置必须经过双人复核与哈希校验，禁止自动推送到生产。

这是一种“结构