罗工把退款涉及的商户列表拉出来：十几家，分布在不同省份，行业标注五花八门——“教育咨询”“软件订阅”“会员服务”“线上课程”“直播培训”。但他做了一个交叉：这些商户有一个共同点——它们的落地页域名与此前迁移包里提到的“会务培训”宣传素材高度相似，甚至二维码模板风格一致。
“同一批内容团队做的。”罗工说，“风格复用太明显。”
纪检联络员立刻下令：把这批商户作为“暗渠闸门候选”，同步做三件事：
1）资金侧：对这些商户的大量深夜退款行为触发风控复核；
2）经营侧：核查其真实经营、发票开具、客服体系、退款规则；
3）技术侧：抓其落地页与短链、广告像素参数，串起与迁移包的联系。
护士长则从公众端补一块压舱石：她在病区群里发了一条非常清晰的提醒——
“任何收到‘退款’‘解约退款’短信，不代表官方返还。官方返还只以编号回执核验为准。不要因为陌生退款去点击链接或找人确认。”
她特意加了一句：“陌生退款更像骗子在搬钱，不是你在拿钱。”
这句话让很多人瞬间清醒：你收到的不一定是你的钱，可能是他们的钱在路上经过你能看到的地方。
---
上午八点五十五，暗渠溯源出现第一个突破点：**退款路径的“聚合支付”**。
罗工发现，这批商户的退款并不是各自走各自的通道，而是大量使用同一个聚合支付服务商的接口。退款请求的API路径、签名字段、回调地址高度一致，只是商户号不同。
“他们把暗渠建在聚合支付上。”罗工说，“聚合支付是通用工具，但如果同一个聚合支付服务商旗下出现异常密集的深夜退款集群，就很可疑。”
周工立即意识到：这是一条更上游的归集点——不是传统意义的收款归集，而是“退款归集”。把灰收分散到多个商户后，再通过统一的聚合支付接口退回到指定账户，既能分散风险，又能快速出清。
纪检联络员果断：“把聚合支付服务商纳入合规协查。我们不指控它违法，但要求它提供这批商户的接口调用日志、退款收款账户名单、以及异常退款的风控处置记录。”
她强调：“暗渠的上游比下游更值钱。下游是水，上游是闸。”
系统提示闪动：
【暗渠结构：多商户壳→统一聚合支付接口→深夜高频退款→指定账户
本章未完，请点击下一页继续阅读！