背景调查： 拉脱维亚警方反馈，租赁那台服务器的是一家在爱沙尼亚注册的空壳公司，注册信息全是假的，无法追查到实际控制人。数据中心提供的监控录像也因为存储周期限制，相关时间段的记录已被覆盖。
资金流向： 支付服务器费用的是一个通过混币器清洗过的比特币钱包地址，线索似乎到此中断了。
就在调查似乎又要陷入死胡同时，戴维·科斯塔在交叉比对各种零碎信息时，发现了一个微弱的连接。他注意到，那家爱沙尼亚空壳公司在注册时，使用了一个代理服务，而该代理服务的收费，是通过一个位于塞浦路斯的银行账户支付的。虽然这个银行账户也是匿名的，但开户时需要一个联络电话（通常是预付费的一次性手机号码）。
“这个电话号码，”戴维指着屏幕，“虽然现在已经停用了，但我查了它停用前最后一个月的通话记录。其中有一个简短的拨出记录，打往了一个……立陶宛的号码。”
立陶宛！与拉脱维亚接壤的波罗的海国家！
“这个立陶宛号码的注册人是谁？”李炜立刻追问。
“是一个名叫维塔斯·彼得拉维休斯的男性，”戴维调出数据，“表面身份是维尔纽斯一家二手电子产品商店的店主，有轻微的盗窃和诈骗前科。看起来很普通，但……他的店铺位置，距离拉脱维亚边境只有不到五十公里。”
一个有着犯罪记录、生活在边境城市、其电话号码曾与用于隐藏“暗影”外围节点的空壳公司代理服务有过联系的小人物。这绝不可能仅仅是巧合。
突破性的关联
李炜团队立刻通过伊莲娜向立陶宛警方发出了协助请求，对维塔斯·彼得拉维休斯进行秘密调查和监控。
初步反馈令人振奋：维塔斯的经济状况与他的表面收入不符，他经常有不明来源的现金收入，生活颇为奢侈。更重要的是，立陶宛警方技术部门对其通讯的监控发现，他偶尔会使用加密的通讯应用（并非“暗流”，而是更常见的Telegra加密频道），与一些未知身份的人联系，内容极其隐晦，但其中一个被截获的、未完全加密的附件，经莎拉团队分析，竟然包含了与拉脱维亚那台服务器上发现的同一种独特加密协议指纹的变体！
链条闭合了！
网络攻击事件（北欧金融数据中心扰动） -＞ 独特的加密协议指纹 -＞ 拉脱维亚物理服务器 -＞ 空壳公司租赁 -＞ 代理服务 -＞ 立陶宛边境小城嫌疑人维塔斯 -＞ 再次出现同类加密协议指纹。
“我们找到了！”马尔科·罗西几乎要跳起来，“这个维塔斯，很可能是‘暗影’在东欧地区的一个低级外围人员，负责协助管理一些像拉脱维亚服务器那样的外围节点，或者提供一些本地支持！他是我们找到的第一个，有真实姓名、有真实地址、与‘暗影’网络活动存在明确关联的实体目标！”
办公室内一片沸腾。长达数月的挫败感，在这一刻被巨大的兴奋所取代。他们终于不再是面对一团虚无的代码和匿名的比特币地址，他们找到了一个可以监视、可以调查、甚至可能……可以突破的活生生的人！
李炜强压下心中的激动，他知道，这仅仅是开始。维塔斯显然不是核心成员，甚至可能对“暗影”的上层结构一无所知。贸然抓捕他，很可能只会打草惊蛇，切断这条宝贵的线索。
“冷静！”李炜对团队成员说，“这只是冰山一角，甚至可能只是冰山旁边的一块碎冰。但我们终于摸到了冰山的实体。从现在起，24小时不间断监控维塔斯·彼得拉维休斯。我要知道他每天见了谁，去了哪里，用了什么通讯工具，资金从哪里来，到哪里去。我们要通过他，找到他背后的人，一层一层，直到摸清‘暗影’在东欧，甚至更广范围的网络结构！”
“捕影”行动，终于取得了实质性的突破。一道微光，已经照进了深渊的边缘，虽然依旧无法看清全貌，但猎人们终于知道，该向哪个方向，小心翼翼地布下他们的罗网了。