Grand Theft Code LIX

Amx

173: Aftermath
（印刷厂。第三天下午四点。）

八家医院全部解密完成是在下午两点十七分——距离攻击开始正好72小时，卡在截止线前一分钟。

最后一家医院的IT发来确认消息的时候，整个印刷厂爆发出一阵欢呼。Mcl开了瓶啤酒，Kite瘫在椅子上不想动，Vex把逆向了三天的勒索软件样本归档，Aurora在整理监控日志，Nyx在清理我们留在MedSecure服务器上的痕迹。

我靠在窗边，看着外面的夕阳，感觉整个人都被抽空了。

三天，72小时，八家医院，两千台终端，没有一个病人因为系统瘫痪而出事。这是最好的结果。

但事情还没完。

Reynolds探员下午来了一趟，带了最新的消息。Klein三人已经被刑事拘留，审讯进展顺利。Klein一开始还想抵赖，但看到我们从他服务器上镜像的数据之后，脸都白了，很快就交代了。

"他交代了不少东西，"Reynolds坐在会议室里，面前摊着笔记本，"不止这八家医院。过去三年，他们一共攻击了十七家医疗机构，勒索到手的比特币折合美元超过五千万。这些钱大部分通过地下钱庄洗白了，一部分换成了加密货币存在冷钱包里。"

"冷钱包能追回来吗？"Capita问。

"难。"Reynolds摇了摇头，"比特币的匿名性太强，只要他们不把私钥交出来，我们很难冻结。不过Klein已经答应配合，交出了一部分私钥，大概能追回两千万左右。"

"那剩下的三千万呢？"

"可能追不回来了。"Reynolds的表情很无奈，"这就是网络犯罪的特点——钱一旦进了加密货币，就像水倒进了沙子里，很难再捞出来。"

会议室里沉默了一会儿。

"还有一件事，"Reynolds翻开下一页，"Klein交代，他不是一个人在干。他上面还有一个人，代号'Doctor'。'Doctor'负责提供目标名单、勒索软件样本、还有暗网销赃渠道。Klein只负责实施攻击，拿到赎金之后分三成给'Doctor'。"

"'Doctor'是谁？"我问。

"不知道。"Reynolds摇了摇头，"Klein说他从来没见过'Doctor'本人，所有联系都是通过加密通信，用的是Signal，每次聊完就自动销毁。'Doctor'的真实身份、在哪、是男是女，他一概不知。"

"那这个'Doctor'，"Capita的声音很沉，"可能还会找其他人继续干。"

"很有可能。"Reynolds点了点头，"所以这个案子还没完。我们已经上报给FBI总部了，可能会成立一个跨州专案组，专门追查'Doctor'。到时候……可能还需要你们帮忙。"

Capita看了我们一圈。"没问题。"

174: The Doctor
（印刷厂。Nyx的工位。第四天上午十点。）

Nyx决定自己查"Doctor"。

她不是不相信FBI，而是她觉得执法部门的手段太慢了——等专案组成立，走完跨州协作流程，"Doctor"早就消失得无影无踪了。她想用自己的方式，从技术层面追踪。

"Klein说他们用Signal联系，"Nyx一边操作一边说，"Signal的消息是端到端加密的，而且阅后即焚，理论上不可能追溯。但Klein的手机已经被扣押了，Reynolds给了我一份手机镜像——虽然聊天记录删了，但手机里可能还残留着一些元数据。"

"元数据能查到什么？"我问。

"能查到很多。"Nyx笑了笑，"比如'Doctor'的Signal账号注册时间、绑定的手机号段、常用的登录IP、甚至手机型号。这些东西虽然不能直接定位到人，但可以缩小范围。"

她花了三个小时分析手机镜像，最后在一个被删除的数据库文件里找到了残留的联系人信息。

"'Doctor'的Signal账号，注册于三年前，绑定的是一个虚拟手机号，号段属于缅甸。"Nyx把结果列在白板上，"登录IP经过了至少五层跳板，最终出口在俄罗斯。手机型号是iPhone 13 Pro——从Signal的客户端指纹里能看出来。"

"缅甸手机号、俄罗斯出口IP、iPhone 13 Pro。"我重复了一遍，"这些信息还是太模糊了。"

"还有更有意思的。"Nyx打开另一个窗口，"我查了Klein和'Doctor'所有的通信时间——不是内容，是时间戳。他们每次通信都在美国东部时间的晚上十一点到凌晨一点之间，非常规律。而且每次通信之后的24小时内，Klein都会收到一个比特币地址，用来收赎金。"

"比特币地址能查吗？"

"能。"Nyx点了点头，"比特币的交易记录是公开的。我把Klein收到赎金的所有地址都列出来，然后追踪这些地址的资金流向。你猜我发现了什么？"

"什么？"

"这些地址收到比特币之后，不会立刻转账，而是会等三到七天，然后通过一个混币器洗一遍。混币之后，资金分散到几十个地址里，最终汇聚到三个主地址。"Nyx把三个地址写在白板上，"这三个主地址，在过去三年里一共收到了超过两万个比特币——按现在的价格，差不多十亿美元。"

"十亿？"我倒吸一口凉气，"这不可能只是医疗勒索的钱。"

"当然不可能。"Nyx的表情很严肃，"Klein的医疗勒索只是其中一小部分。这三个地址背后，可能是一个庞大的网络犯罪帝国——不只是医疗勒索，可能还有其他类型的攻击，其他地区的受害者。"

"'Doctor'可能不是一个人，"我慢慢地说，"而是一个组织。"

"对。"Nyx点了点头，"而且这个组织的规模，可能比我们想象的大得多。"

175: Decision
（印刷厂。会议室。第四天晚上八点。）

我们开了个会，讨论要不要继续查下去。

Capita把目前掌握的信息全部列在白板上：MedSecure三人已经落网，八家医院的数据已经恢复，Klein交代了上面还有个"Doctor"，Nyx查到"Doctor"背后可能是一个大型网络犯罪组织，涉案金额可能高达数十亿。

"问题是，"Capita环视了一圈，"我们要不要继续追查'Doctor'？"

"当然要。"Mcl第一个表态，"这种人不抓，还会有更多医院遭殃。"

"但你想过没有，"Vex推了推眼镜，"我们上次黑进MedSecure已经是踩在法律边缘了。如果继续追查一个跨国犯罪组织，我们可能需要做更多'边缘操作'。到时候万一出了事，谁来负责？"

"FBI会负责。"Mcl说，"我们只是提供技术支持。"

"执法部门的手段你也看到了，"Nyx冷冷地说，"等他们成立专案组，走完国际协作流程，'Doctor'早就把钱转走、人也消失了。网络犯罪的特点就是快，你慢一步，线索就断了。"

"那你的意思是，我们自己干？"Vex皱起眉，"绕过法律，自己当义警？"

"我没说绕过法律，"Nyx说，"我是说，我们可以先查，查到线索之后交给FBI。就像这次一样——我们先黑进MedSecure拿到证据，然后交给Reynolds走合法程序。"

"但这次不一样，"Aurora开口了，"这次的目标是国内的小公司，风险可控。下次的目标可能是跨国犯罪组织，他们有能力反击——不是法律上的反击，是技术上的，甚至是物理上的。你想过没有，如果'Doctor'发现我们在查他，他可能会反过来攻击我们，攻击印刷厂，攻击我们每个人？"

会议室里安静了。

Aurora说的是实话。我们这群人虽然技术不错，但面对一个有组织、有资金、有能力的跨国犯罪集团，我们其实很脆弱。印刷厂的网络防护不算顶级，我们每个人的个人信息也不是完全保密的。如果对方真的要报复，我们未必扛得住。

"我觉得，"我慢慢地说，"我们可以查，但要谨慎。不搞大规模的行动，不主动暴露自己。就从Nyx已经查到的那三个比特币地址入手，继续追踪资金流向，看看能不能找到更多线索。查到了就交给Reynolds，让他们去走程序。"

"同意。"Capita点了点头，"我们不做英雄，我们做我们擅长的事——技术分析。剩下的交给FBI。"

"那这个案子，"Kite问，"就算第十季的收尾了？"

"不算收尾，"Capita笑了笑，"'Doctor'还没落网，这个故事还没结束。但至少这一段——八家医院的危机——算是解决了。"

她站起来，拍了拍手。"好了，都散了吧。这几天辛苦了，明天休息一天。"

大家陆续走出会议室。我留在最后，看着白板上那三个比特币地址，心里有一种说不出的感觉。

这个故事，可能才刚刚开始。