张枢在偏厅讲述原委，他的羊皮袄上还带着漠北的寒气：“家父临终前嘱咐‘元室正统在忽必烈’，” 乃马真后乱政时，“张氏一族闭门谢客，” 既不附逆也不公开反对。去年冬，乃马真后旧部威逼利诱，“许以中书省右丞之位，” 要张家参与 “废立阴谋”，家父才冒险截获此信，“嘱我待时机献与萧大人。”
萧虎注意到张枢的手指关节有薄茧：“你在漠北务农？” 张枢苦笑：“家父罢官后，” 举家迁往克鲁伦河垦荒，“种青稞、养牛羊，” 体会过牧民疾苦，“更知稳定的可贵。” 耶律铸查阅《官员档案》，张文谦在宪宗朝确因反对 “敛财苛政” 被贬，“张氏父子素有清名，” 他对萧虎低语，“此次献信应是真心归附。”
虎卫营千户那拉珠尔对张枢的归附持保留态度，他在萧虎耳边进言：“张枢或许是乃马真后派来的细作，” 献伪信是为 “骗取信任，” 内应外合。萧虎却另有考量：“张氏在汉人官员中声望高，” 若真心归附，“可安抚汉地士大夫，” 即便有诈，“此信已暴露乃马真后的野心，” 也有利用价值。
他对张枢提出考验：“需你亲自前往上都，” 协助核查乃马真后旧部的通信记录，“若能查实伪信来源，” 便奏请忽必烈恢复张家官职。张枢毫不犹豫应承：“愿以家族声誉担保，” 他的目光坚定，“家父一生忠元，” 我岂能让先人名节蒙尘。萧虎暗中派虎卫营监视张枢动向，同时命人核查其在漠北的活动轨迹 —— 这是政治归附中的必要防范。
张枢提供关键线索：截获密信的乃马真后旧部名叫 “阿合马”，曾是乃马真后的文书吏。虎卫营立即突袭阿合马的居所，在炕洞暗格中搜出更多仿造工具：半截波斯墨锭、刻坏的印章坯、未写完的伪信草稿。草稿上的汉字批注 “波斯文按图画仿”，证实伪造者确为汉人，且不懂波斯文。
阿合马在审讯中供认：“是帖木儿千户指使伪造，” 意图 “嫁祸伊尔汗，” 破坏元朝与西域的同盟，“若萧虎轻信密信，” 必会对伊尔汗动武，乃马真后便可趁机复辟。供词用蒙汉双语记录，阿合马的指印按在关键段落，与他的户籍册指印比对一致。伪信案的脉络逐渐清晰，矛头直指上都的乃马真后旧部。