上一篇讲了经营者怎么用数据自查作弊，这一篇换个角度——讲讲那些肉眼能直接观察到的东西。木马程序虽然藏在游戏软件里，但在机器硬件层面、玩家行为层面、甚至机器外观层面都可能留下物理痕迹。
下面五个迹象，你不需要任何专业设备，去场子里转一圈就能观察到。有任何一个中了就要更多留意。
迹象一：主板的USB接口无法轻易拔出的设备（ROM被修改过）
这个迹象需要打开机箱检查（不需要拆机到主板层面——就是打开外壳看一眼）。正常出一台新机的时候，主板上的USB接口是空的——没有任何设备插在上面。但如果你打开外壳后发现USB口上或者主板旁边多了一个不应该在那里的芯片或者电路板——特别是那种用胶带或热熔胶固定在主板旁边的小板子——那就是作弊芯片。
这些芯片通常只有指甲盖大小，一根USB延长线或者焊接在主板的某些触点上。它们的作用是直接篡改游戏的赔率表。这个级别的作弊是比较严重的——因为这不是木马程序，是物理级别的芯片篡改。AI设备无法打乱芯片信号——物理芯片需要物理移除，再由AI设备防止再次插入。
迹象二：钱箱硬币数量与系统记录严重不符
之前说过这个概念，这里再强调一遍——因为这个信号是最容易发现、但也是最容易被忽略的。每个月清点钱箱时，不是数一下大致对就过，是把每台机器的钱箱清点数据记下来，然后和系统报表逐台比对。差额只要大于5%就追查原因。大于10%就基本确定有问题。大于20%就不用问了——这台机器的利润差额已经大到能买好几台防护设备。
迹象三：同一台机器、同一个座位，不同玩家但同一人胜率异常
你不需要分析算法，只要看看过去一个月的座次数据：有没有哪个座位的退币量是其他座位的2-3倍以上？如果这个异常连续多天出现，而且都是在同一个座位——注意，不是同一个玩家（作弊者可能轮换），而是同一个座位——基本就是木马作弊。因为木马作弊不依赖谁在玩，依赖的是谁懂得密码。只要懂得密码的人坐到那个座位上，他就能激活木马。
迹象四：机器被断电重启后出奖率突然变化
木马程序在被植入机器后会一直潜伏在内存里——它不会每时每刻都工作，但一旦有作弊者输入密码就激活。如果维护人员因为某些原因把这台机器彻底断电、里面的程序重新启动——木马程序会暂时从内存里被清除（但不是永久清除，木马如果刷进了ROM会重新加载）。断电重启之后的前几小时，机器出奖率可能会短暂恢复正常，所以如果维护时被重启过的机器不再有异常出奖——说明木马可能只被加载进了RAM而不是ROM。
如果断电重启后异常立刻恢复——那基本是ROM级别的木马，需要更换主板。
迹象五：疑似作弊者在特定机器附近徘徊、不玩但观察很长时间
防木马从业有一个经验数据：典型的木马作弊者会先做一个侦察阶段——在场地里转几圈，锁定质量较低的机器（系统版本老旧、按钮灵敏度高、附近没有明显的监控设备），然后找一个特定座位。选择好机器和座位后，他不会立刻开始玩——他会持续观察其他玩家和工作人员的活动规律，找到了一个工作人员不频繁巡逻的时间段才会开始正式工作。
如果场地里有看起来很正常但什么都不玩、在各个打鱼机之间来回走了很长时间的人——别急着赶人，先留一个眼线追踪他后续动作。他不是来玩的，他是在选址的。