门外的脚步声停了。
屋内没有动。裴砚的手还搭在门闩上，沈知意站在桌边，茶杯里的热气已经散得差不多。阿斑从窗台跳下，贴着墙根走到门边，耳朵微微转动。
裴砚松开手，退后半步，轻轻摇头。沈知意点头，两人一前一后回到桌旁。电脑屏幕还亮着，墙上贴着八条差评的打印纸，红笔圈出的时间线清晰可见。
天快亮了。他们没睡。
第二天清晨，裴砚带上离线硬盘和读卡器出门。他走小路绕过桑林，避开村口那条直道。沈知意留在祖屋，重新铺开一张大纸，把五个账号的Ip跳转路径一条条画出来。每条线都经过同一个中转点——邻县西街网吧。
她记得那辆摩托车离开的方向，正是西街。
裴砚到了废弃茶站。这里曾是镇外的临时加工点，设备老旧但不用联网。他插上U盘，用老式读卡器连接主机，手动运行校验程序。进度条缓慢推进，到78%时卡住。他换接口，重启设备，再次尝试。
三个小时后，程序弹出提示：发现残留日志区块。
他暂停提取，先备份数据。然后逐段解析，终于找到一段未完成的数据包。包内有一个临时凭证，关联清和堂直播后台的操作接口。这个接口允许第三方批量发布互动内容。
证据链开始闭合。
下午，裴砚带回硬盘和记录。沈知意正在整理《桃溪茶作守则》附录里的通讯模板。她翻到一页空白，开始手绘信息流转图。左边写直播时间，右边列差评发布时间，中间用箭头连接Ip跳转和摩托出现时段。
图成之后，脉络清楚。所有异常行为都集中在直播结束后的两小时内。评论内容直接引用主播话术，发布时间密集，注册账号新且无其他活动。
这不是普通差评。
裴砚对照图表，在离线环境中模拟攻击路径。他输入临时凭证，成功调取部分操作日志。日志显示，有人通过该接口向多个平台推送内容指令，目标明确指向“多元复合养生茶”上市节点。
数据无法直接证明幕后主使身份，但足以说明存在组织化操作。
两人决定提交材料。
当晚，沈知意找出两张空白光盘。她将原始文件分别刻录，一张存入祖屋地窖，另一张密封装袋。裴砚用毛笔誊抄关键图表与摘要，装订成册，封面题写“桃溪茶事疑案备参”。