”开关第一次尝试开启，触发二次验证，验证失败；三分钟后第二次尝试，切换验证方式；又两分钟后第三次尝试，进入冷却。

冷却意味着什么？意味着他们今晚的潮汐被截断，扩音口被降压。

“切换发生了。”罗工盯着面板，声音很低，“他在绕行验证门槛。”

绕行验证门槛的动作本身，就是最硬的回声。因为正常运营者不会在几分钟内频繁切换验证方式，只有控制岗位在救火时才会这么做。

九点十四分，T-Forms后台出现字段变更尝试：把“手机号”字段隐藏，把“验证码”字段改成“口令”。这是一种典型的“降低门槛”手法——把验证压力从平台侧挪到他们自己的话术侧，让群众以为输入口令就能通过。

然而字段变更同样触发强验证门槛，验证失败，进入冷却。

“两个口都被压了。”周工说，“他们必须启用备用线路。”

备用线路很快出现。九点十八分，一个新的语音房平台链接开始被投放，入口结构仍旧三段，但链接特征字段不再是S-ROOM，而是一个全新的短链服务。与此同时，纸质传单上的专线号码开始高频回拨——他们试图用电话替代平台扩音。

纪检联络员没有阻止投放，也没有阻止回拨，她只说：“让他们用力。”

让他们用力意味着更多动作，更多动作意味着更多节点暴露。

---

###5）备用线路暴露：岗位交接的痕迹出现在“同一分钟”

九点二十一分，最关键的回声出现了。

平台侧监测到一个异常：原本负责控制岗位的设备指纹在同一分钟内出现了两个不同的会话重签请求，分别来自两个网络类型——一个是写字楼固定出口的特征，一个是蜂窝移动网络切换特征。两者的请求间隔只有四十七秒。

四十七秒意味着什么？意味着很可能有两个人在同时尝试接管同一权限，或者同一个人同时用两条线路救火。但无论哪一种，都指向“岗位交接”或“岗位争抢”。

罗工把这条记录放到大屏，指着时间戳：“这是拎影子最需要的东西——同一分钟的矛盾。矛盾说明有人慌，有人抢。”

周工的声音更冷：“抢的时候会说真话。”

果然，镜像系统在语音房里捕捉到一段管理员的指令（