肖猛带队按照林默给出的泊位坐标与设备清单，对青城港一期3号吊机进行复勘。现场已按普通意外事故完成初步清理，装卸班组准备恢复作业，肖猛出示搜查手续后，现场施工人员暂停操作，配合勘查。
肖猛将队员分成三组，一组控制吊机操作室，一组检查吊臂与锁扣机械结构，一组排查控制柜与线路接口。三组人员同步作业，全程开启执法记录仪，对每一处拆解部位拍照固定。
吊机控制柜外壳无撬动痕迹，封签完好。技术队员拆开面板后，在主控板角落发现一枚非原厂微型模块，模块被热熔胶固定，接口与主控电路隐秘串联，表面无任何型号标识，肉眼极难识别。肖猛将模块小心取下，装入证物袋，标注提取位置、时间、操作人员，立刻送往技术科做同源比对。
江哲在实验室同步进行检测，将微型模块与此前陈工触电设备内的残留部件进行拆解比对。芯片型号、电路板布线、通讯频段、加密协议完全一致，属于同一批次定制设备，可实现远程触发、指令篡改、状态回传三项功能。江哲出具同源认定报告，确认两起案件作案工具来源统一。
林默对海关查验一科近三个月所有在岗人员的操作日志、设备登录记录、网络访问权限做全量回溯。筛选条件设定为：凌晨2:00—2:40有设备外联行为、接触过3号泊位数据权限、当班记录与事故时间重合。
系统最终锁定唯一对象：海关查验一科马卫民。
数据显示，老许事故当晚，马卫民2:12登录查验平台，2:17发起境外加密传输，2:19下线，全程与异常流量时间点完全重合。近半年内，凡是青城港发生“意外事故”的时段，马卫民均处于当班状态，且其办公设备均出现相同特征的境外流量。非当班期间，该设备无任何异常外联。
林默将时间轴、IP地址、设备编号、登录账号、流量特征整理成结构化数据表，每一项均对应系统原始日志，不可篡改、不可撤销。
肖猛复勘现场结束后，返回专案组会议室汇报。
“吊机控制柜里找到的，微型远程控制模块，和陈工设备里的一模一样，人赃并获。”
江哲将同源比对报告投影在屏幕上，关键参数用红线标注：“所有异常流量的源头锁定了，海关查验一科马卫民的办公电脑，只有他当班的时候才会发。”
林默指着数据表上的重合点：“就是他，前端的钉子。所有指令从他这里流出，对接境外，再触发现场设备，形成完整链路。”
赵刚在白板上画出人员—设备—流量三角关系，马卫民的名字被圈在中心位置，三条实线分别连接海关内网、境外节点、码头作案设备。
“证据链闭合。马卫民具备作案时间、设备权限、通讯痕迹，模块物证直接指向人为操控。”
林默补充：“目前只能确认他是前端执行者，负责信息传递与配合放行，背后还有更高权限者负责清痕迹、调监控、改数据。他的上线，才是我们下一步目标。”
肖猛提出布控申请：“我建议24小时盯守马卫民，不打草惊蛇，等他和上线接头，一网打尽。”
赵刚批复同意：“秘密布控，只盯不抓。所有行踪、通话、接触人员全部记录。林默，继续深挖他的档案与社会关系，找出动机与关联人。”
林默点头，目光落在马卫民的入职信息一栏，入职担保人一栏，他已经隐约看到了一个熟悉的名字。
关键线索：
1. 3号吊机控制柜内提取微型远程控制模块，物证固定、封装、移交完毕。
2. 模块与陈工触电案物证同源，同一作案体系、同一套工具。
3. 异常流量唯一源头锁定：海关查验一科马卫民办公设备。
4. 马卫民当班时段与所有港口“意外事故”时间高度重合。
5. 马卫民为前端执行者，背后存在上层指挥与技术清场人员，层级关系初步成立。
