diff --git a/docs/虎牙hyCred签发-侦察笔记.md b/docs/虎牙hyCred签发-侦察笔记.md
index 4260a3d..ad0684f 100644
--- a/docs/虎牙hyCred签发-侦察笔记.md
+++ b/docs/虎牙hyCred签发-侦察笔记.md
@@ -117,3 +117,11 @@ Request/Response LoginPassport 两个 Creator::C2 均以 movz w0,#0x20 构造
 => 猜测: 0x20 是该消息族的类型号, 线上完整 msgId 需结合工厂注册表;
    或 key_idx 本就是消息族类型号的镜像(服务端按它选处理分支/密钥)。
 捷径备选: 设备hook UdbMsgHandler::sendMessage 抓真实线上id(需用户重登一次)。
+
+## ★ Round5: msgId 实锤
+
+@0x289b48: mov w1,#0x1001; x2="MsgRequestLoginPassport";
+           bl UdbMsgFactory::RegisterMsg(uint, char const*)
+=> MsgRequestLoginPassport id=0x1001(4097), Response=0x2001。
+   (前轮0x20为operator new大小, 红鲱鱼)
+剩余: 传输端点+servant、password编码、活体发送测试。