临夏市公安局迅速调取银行监控视频，锁定了和政县的马某林。马某林在银行提款时的装扮一度让警方怀疑是个女人：1米7左右的身高，一头长发，戴着口罩，穿着女式T恤、蓝色牛仔裤、白色运动鞋。

　　与此同时，公安机关调取了沈红所在小区的监控视频。2015年5月25日晚接近10点，沈红接到电话后离开小区。监控最后捕捉到的画面，是沈红出现在她经营的鞭炮店附近。公安机关通过调取道路监控视频发现，大约同一时间，马某林驾驶一辆黑色轿车进入临夏市，离开临夏时副驾驶座位上出现了一名女性。

　　2015年6月21日，公安机关在马某林家门口将其抓获，从其住宅中查获了32万元现金和沈红的一张储蓄卡，在住宅附近的杂物堆中，提取到他男扮女装时的所有衣物。

　　马某林坚称其与沈红仅有生意上的往来，并不熟悉，更没有开车搭载过她。黑色轿车是他从堂弟处借的，车上的女性是他找的“小姐”。至于家中的32万元现金，马某林解释说，18万元是赌博赢的，10万元是贷款，还有4万元是做生意挣的。

　　然而，当公安机关向马某林堂弟询问马某林借车的情况时，其提供的一些信息引起了公安人员的注意：“车开回去后我发现，车后排脚垫处有几处血迹，后排座位也有一片不明液体，几根女性头发。副驾驶上还有一个女式黑色发卡。”公安机关对马某林堂弟替换下的旧脚垫进行鉴定，证实上面的血迹正是沈红的。

　　公安机关怀疑沈红可能已经遇害。结合马某林堂弟的证言——马某林在凌晨5点给他打电话说车熄火在某村半山坡附近，两人离开之前，马某林称要去看一下旁边自家的树苗，公安机关决定组织警力对车熄火处周围进行挖掘。