纸条上的字不属于死亡司机。
警方从司机培训表、休假申请和事故前的手写检查单中取样。司机习惯把数字5写成封口形，纸条上的5顶部敞开；他的“路”字右侧连笔，纸条却一笔一划。
笔迹专家只排除高度一致，不寻找某个指定嫌疑人。
墨水检测给出另一个范围。
纸条与遮阳板夹层接触处有三天以上的塑化剂迁移，枪击当天临时塞入的可能性较低。圆珠笔墨水无法精确到日期，但结合车库清洁记录，纸条至少在七月十四日之后、十七日出发前进入车辆。
司机有没有看见，无法证明。
遮阳板平时很少翻下，纸条又被折成小块。它可能是提醒，也可能是留给后来取证者的错误线索。
同车清洁员回忆，司机侧遮阳板在夏季经常用来挡西晒。B-17出发时间接近下午，杜马有可能翻过它。另一名司机却说这辆车的遮阳板卡扣松，行驶颠簸时会自己垂下，维修员常把它夹紧。
两种口述相互冲突。
事故前车内摄像画面已经损坏，无法看到杜马是否读过纸条。警方不把“藏在遮阳板”写成“交给司机”。
杜马的遗物中没有同样笔迹。他的手机在枪击中损坏，只恢复出出发前的一条语音：他抱怨临时替班没有加班费，没有提到路线、补偿或威胁。
调度员回忆，杜马在十五点前问过“二号线是不是要关”，但这句话是在七个月后补充，原询问笔录中不存在。警方把它列为晚近回忆，不能用来证明他看过纸条。
死人无法澄清自己知道多少，调查更不能替他补上一句方便的供词。
纸条上也没有指令他改变路线。
“二号路线，15:05关闭”既可能提示通道状态，也可能告诉某人行动窗口结束时间。
警方转查排班。
七月十七日驾驶B-17的司机叫米哈伊尔·杜马。他不是原定人员。原司机维克托·萨文在十六日晚间请假，理由是妻子急性胃痛。医院没有相应就诊记录，公司主管却在没有替补审核的情况下批准了请假。
萨文没有在枪击中死亡。
事故后他接受过一次电话询问，只说自己临时生病。警方当时重点调查枪手与车辆，没有核查他的银行账户。
现在再联系，号码已经停用。
首都南区的登记住址空着。邻居说萨文在圣诞节前带妻子和两个孩子离开，家具没有搬完，只带了三个旅行箱。一辆没有标志的深色轿车来接他们。
出境系统没有四人的正常记录。
房东保留着退租前的视频通话。萨文说要去北部照顾亲属，神情紧张，却没有出现受伤或被胁迫的可见迹象。孩子仍在当地学校注册，学籍在一月初由一封加密邮件申请转出，目标学校栏空白。
警方检查机场、港口和公路收费记录，没有找到家庭车辆。四人可能使用他人证件离境，也可能仍在国内。
萨文的兄长收到过一张节日明信片，邮戳来自首都中央分拣站，字迹经初步比对像萨文本人。明信片只写“我们安全”，没有地址。
这使协查优先级从单纯失联提高，却仍不能判断他是逃跑、被保护还是遭到控制。
银行账户却留下钱。
七月十五日，萨文收到等值八千美元的转账。七月十六日，他递交请假。七月十八日，他分三次取走六千五百美元，其余用于偿还贷款。
金额不算足以消失一辈子。
却足以让一名欠债司机接受一次“有补偿的请假”。
付款名称是交通中断保险预付款。
机场确实为地勤车辆购买过交通中断险，但司机个人不在理赔对象中。保险公司否认发出这笔钱，保单号对应一份早已注销的货车合同。
资金先从一家停业保险代理账户转出。
该账户在同一天收到三笔境外咨询费，合计八万四千美元。八千只是其中一笔，另外几笔分别流向机场临时保安、道路维修承包商和一家车辆租赁行。
银行合规部门曾自动标记这批交易。
标记在两小时后被解除，理由是机场突发风险赔付。解除人使用保险代理的主管令牌，而那名主管当时正在国外住院。令牌可能被共享，也可能账户被冒用。
警方冻结剩余账户，只追回一万一千美元。多数资金在三天内转为现金或支付给真实供应商。真实供应商收到的是正常发票款，并不知道上游账户用途。
这条链不靠一笔巨大贿款运行。
它把钱拆成足以让普通流程继续的小额付款。
萨文八千美元的数额与其一年工资相近，却低于银行自动增强审查门槛。转账人熟悉的不只是保险名目，也熟悉普通员工会为多少钱犹豫、为多少钱愿意请一次假。
警方将他的妻子和孩子列为需确认安全的失联人员，而不是和萨文一起写成逃犯。
阿米尔要求把资金链拆开。
能确认的是萨文收到异常付款并随后请假。
不能确认的是他知道请假会让杜马死亡，或者知道B-17将遭袭击。
警方准备对萨文发布协查，而不是直接列为枪击共犯。
林锐看着原排班表。
如果萨文正常出勤，驾驶B-17的人会换一个。巴士仍会按十五点零五分离开，黑色信标仍在保险杠里。行动计划并不依赖某个司机的姓名。
司机只是可以替换的一个位置。
杜马临时替班，也可能从未看见遮阳板里的纸条。
警方追查转账附言。
银行原始报文没有写B-17，没有写司机，也没有写机场。附言栏只有四个单词的本地语缩写，翻译后是——路线二号，预付款。
付给原司机的八千美元，附言不是巴士编号。
是“路线二号”。