苏晚基于中医洞察的怀疑，如同投入平静湖面的一颗石子，在顾晏舟掌控的深水区激起了隐秘而剧烈的涟漪。明面上的调查依旧波澜不惊，但针对周世坤及其核心派系的、最高级别的秘密审查，已然在黑暗中全面启动。
这一次，苏晚不再仅仅依赖于网络的虚拟追踪。在顾晏舟的绝对授权下，她接入了顾氏内部监察审计部门的部分核心数据库，以及由顾晏舟直接掌控的、用于处理特殊事务的私人情报网络。她的任务，是从海量的数据和信息中，找出能够印证她判断的铁证。
她首先调取了周世坤及其几名亲信下属、以及与他过往甚密的几位关联董事近三个月的行程记录。
数据庞杂，但她很快捕捉到了异常。就在“灰鸦”发动首次隐蔽扫描的前一周，周世坤以“考察新兴市场”为由，进行了一次为期五天的“私人行程”，目的地是瑞士苏黎世。公开记录显示他入住了当地一家豪华酒店，但酒店的监控记录（通过特殊渠道获取）却显示，他在入住期间，有多个晚上行踪不明，并未返回酒店。
几乎在同一时间段，他的一名亲信财务副总监，也以“参加行业峰会”为名，短暂到访了开曼群岛。而另一名负责海外法务的亲信，则与一家注册地在维京群岛、背景成谜的“咨询公司”代表，在香港有过一次秘密会面。
这三个地点——瑞士、开曼群岛、维京群岛——无一不是全球着名的离岸金融中心和信息保密地，也是“灰鸦”这类组织最喜欢用来进行秘密交易和资金操作的地方。
行程的疑点已经浮现，苏晚立刻将调查重点转向了财务数据。
她绕开了集团常规的财务审计流程，直接切入由顾晏舟心腹掌握的、监控核心高管及其关联方异常资金流动的暗线系统。对周世坤及其直系亲属、以及那几个亲信名下所有公开和半公开的银行账户、投资账户进行了交叉比对和深度挖掘。
起初，一切看起来天衣无缝。周世坤等人的账户往来清晰，收入与职位匹配，大额支出也都有合理解释。对方显然也做了精心的伪装。
但苏晚的耐心和细致，远超常人。她不仅查看账户余额和流水，更着重分析资金的来源、流向、以及交易对手方的背景。
经过连续数小时不眠不休的数据筛选和模式识别，几条隐藏在合法交易背后的、极其隐蔽的资金流，终于被她剥离出来。
她发现，在过去四个月内，周世坤一位早已移居海外的远房侄子名下，一个在列支敦士登开设的私人银行账户，陆续收到了三笔来自不同离岸空壳公司的汇款，总额高达八百万美元。而这几家空壳公司的最终控制人，经过层层穿透（动用了顾晏舟的私人情报资源），均隐约指向与 “灰鸦” 有关联的匿名基金。
更关键的是，这三笔资金的到账时间点，与“灰鸦”对顾氏发动Apt攻击的几个关键阶段高度吻合：
· 第一笔资金到账后三天，“灰鸦”开始了前期侦察性扫描。