2016年1月3日，于明伙同“张磊”通过周姐、老白等联系到POS机主小民，几乎同时，河北“料主”中介联系到了江西“料主”。料主分两拨来到济南，1月13日盗刷了三张卡。1月14日又盗刷了1张。

审讯时于明交代，他和“张磊”等人作案时，曾使用过一台鲁L牌照的老款奥迪A6轿车及一台京E牌照的老款奔驰S600轿车。

“张磊”是谁？没人知道他的真实身份。2016年5月17日，民警在临沂河东区一个居民楼下，发现了那辆京E牌照的老款奔驰S600轿车，专案组认为，该车实际使用人极有可能是“张磊”。经过蹲守，当晚7点，“张磊”落网，他的真名叫张发财。

张发财交代，本案中用于分赃的银行卡都是从网上购买的，“料”是江西的料主带来的。在逃期间，周姐曾多次给他打电话串供，编造谎言，并让他点掉额头上的痦子，改变面目特征以逃避警方侦查。

张发财说，在济南盗刷银行卡的2名“料主”是江西余干人。经分析，警方确定1名重大嫌疑人胡三，对其上网追逃。胡三到济南自首后说，与其一起到济南来盗刷的，是其舅舅黎叔，专案组立即对黎叔上网追逃。

5月20日下午5点，黎叔出现在江西余干一家幼儿园接孩子时，被济南警方当场抓获。