ib本的风扇声音很小，贴近了才听得见。
陈末把椅子往前挪了半寸，屏幕冷光落在指节上，像一层薄霜。旅社外头还闹，炒粉摊的铁铲敲锅，楼下有人扯著嗓子问房。那点声响隔着门板传进来，散得很碎，反倒把屋里衬得更静。
他先没碰脚本，先看日志。
做系统的，最会骗人的是页面，最不会撒谎的是时间。谁几点进来，哪台机子起过会话，哪个接口在夜里多抖了一下，只要没把整串东西洗干净，总会剩点灰。
嘉禾的目录分得细，命名倒规矩。
充提、撮合、后台、风控、钱包，各有各的文件夹。陈末点开后台访问日志，按时间拉到最近两周，再把凌晨一点到四点那一段单独筛出来。白底黑字一行行滚过去，像针脚。
十分钟后，他把烟盒摸出来，又放下。
不用抽了。
里头已经有味了。
同一个运维账号，连续七晚在一点四十前后登录。来源ip不固定，三次是内网跳板，两次从机房出口，一次挂著办公区网段，还有一次干脆顶着测试段的地址进来。能拼出这串动作的人，手很熟，知道该把脚印踩散。
可他又没踩干净。
因为有一晚，他多做了一步。
陈末把那一行单独标红，往前翻，又往后对照。那天夜里，后台账号登陆后二十三分钟，热钱包脚本目录被人读过。不是改，至少表面看不出改动。对方就是进去，看了，退出来，又去充提队列表扫了一遍。
纯好奇的人不会这么看。
真正值夜班的技术，也不会挑这个顺序。先摸脚本，再扫队列，像在掂量这地方能不能下手。
陈末手指停在触控板上，没再往下拖。
周明宇昨晚那句“别让它先死在自己人手里”，到这儿有了肉。
他切去热钱包目录，把脚本从头到尾过了一遍。
代码是老php和shell混著写的，味道很杂，像两拨人先后接手过。前半段还算克制，后半段为了图快，把确认和放行揉在了一起。钱包余额检查、提币队列筛选、冷备判断，全都挤在一条流程里。谁要是能摸到那台跑脚本的机子，再拿到后台某个高权账号，夜里趁值班人犯困，足够狠狠干一口。
陈末开了个本地记事，先打三行字。
“热口确认过短。”
“后台与出币脚本过近。”
“值夜账号存在跨网段登录痕迹。”
打完他停了一下，又把最后一句删了，换成了更短的一句。
“夜间登录链有杂脚。”
这话够用了。
第一版意见给太满，像拿着刀子上桌。周明宇急归急，未必喜欢别人第一晚就把他盘子里的人都点穿。陈末要的是切入口，不是逞快。
他接着往下看。
充提延迟那块问题更直接。嘉禾测试环境挂著一套模拟队列，表面上充币入账和提币出队都能跑通，可延迟抖得很散。平峰时还好，一旦队列里叠到三十笔以上，确认回写就开始拖。再往后拖，后台人工干预记录就冒出来了。
人工干预这四个字很扎眼。
陈末点开附属日志，里面记着两类操作。一类是“重推”，一类是“手改状态”。重推还算常规，手改状态就太脏。做得省事，出事也快。谁手里攥著后台许可权，碰见用户催单、老板催单、熟人插队，伸手一点，账面上先过去，链上再慢慢补。补得回来算运气，补不回来，洞就留那儿。
更要命的是，这个动作不止一个人能做。
陈末把许可权表调出来，对照日志挨个比。财务口名义上只碰对账和提审，运维口负责机子和脚本，后台客服只改工单。纸面分层像模像样，真落到账号上，三边都沾了一手。
还有个更脏的共享管理号，名字起得像系统保留账户，过去两周一共登录了十一回，四回落在夜里，三回落在办公区白天。
陈末盯着那串登录记录，肩背慢慢绷紧。
共享号这东西，平时像个方便门。真出事，谁都能说不是自己。嘉禾要是现在就开大盘，碰上一次快跌快涨，用户提币一挤，这扇门后头会先冒烟。
窗外起了点风，旅社旧窗框轻轻响了一下。
陈末站起来活动肩颈，顺手把水杯端到嘴边。水已经凉了，带着旅社杯子里那股洗不净的碱味。他喝了两口，走到门边听了一下。走廊没人，只有楼下电视机在放一部老武打片，刀剑声隔着楼板闷闷地飘上来。
他回到桌前，把测试环境的资料库结构也翻了一遍。
很快，另一层东西露出来了。
嘉禾现在这套系统，看着像交易所壳子，骨头却还带着早期场外盘的习气。撮合是临时拼上去的，钱包是后补的，后台沿着老客服系统改出来半截，很多栏位名字都没改干净。说明这盘子搭得急，钱和人先到了，底下那层还没来得及磨顺。
周明宇会急，不奇怪。
可更让陈末在意的，是日志里的“删改手感”。
有几段记录断得太齐了。
普通值班删日志，常会留下毛边。前头少一段，后头多一段，时间戳对不上，或者索引没清。