中城的数据中心，对所有内部合规电话录音、邮件服务器、内部交易即时通讯记录进行地毯式审查。为了避免对方在发现后紧急销毁服务器数据，家族办公室的法务团队在行使审计权的同时，同步委托纽约南区联邦检察官办公室的一名前网络犯罪检察官，以“证据保存紧急申请”为由申请了美国法院的电子取证令（e-discoveryorder），一举完成了对蓝水资本全服务器的“证据镜像冻结”。
在总计470万封内部邮件和9.2万段Slack聊天记录中，法务团队用AI取证工具以关键词“SiliconMaze”、“代码植入”、“天芯科技”、“物流”、“迪拜”、“Al-Hadi”、“周”等进行全量检索和语义分析。经过45小时的连续工作，他们恢复了决定性的证据集群：
第一组：代码植入的铁证。SiliconMaze（以色列EDA外包公司）向蓝水资本提交的“项目进度报告”，其中明确写道：“标记植入已完成，注释风格已匹配Synopsys团队习惯，变量命名采用Synopsys标准，触发审查后相似度预计达87%。”
第二组：物流篡改的指令链。蓝水资本通过开曼子公司向迪拜中间商“Al-HadiGeneralTradingLLC”支付的370万美元“物流服务费”，附有汇款备注：“收货方变更及转运安排。”
第三组：周某与蓝水资本的通讯全记录。周某（代号“桥”）与蓝水资本CEO在Telegram加密频道的完整通讯记录，包括周某主动提供的审计时间节点、审查切入角度、以及国安部门对澹台月案的内部研判信息……
证据主权在这一刻，发生了根本性的逆转。
林川在新加坡的家族办公室聘请的是美国人，整套审计和取证操作在法律上的精准度极高，林川自己没露面过，看起来只是美国人自己的审查。
等蓝水资本反应过来的时候，已经迟了。