7月27日凌晨，徐水县公安局、保定市公安局的刑侦人员陆续赶到案发现场。现场勘查发现了多枚弹壳，编号依旧是“七五杠八一”。结合北京之前发生的系列枪击案，北京军区保卫处当即提出并案侦查的提议。警方通过果园里留下的脚印，判断出凶手的逃跑方向，顺着线索追查，却只找到了那片烂泥塘，没有发现任何有价值的痕迹。白宝山再次消失在警方的视线中。
回到北京后，白宝山将抢来的八一式自动步枪仔细拆解、擦拭干净，藏在出租屋的床底下。谢宗芬察觉到他的异常，问他去了哪里，白宝山只是淡淡地说去外地办了点事，没有多说一个字。谢宗芬看着他冰冷的眼神，不敢再追问。此时的白宝山，已经不再满足于抢枪，他心中的贪婪和仇恨不断膨胀，一个更大的阴谋正在酝酿。他要利用手中的武器，抢夺更多的钱财，向这个他憎恨的社会展开更疯狂的报复。
1996年8月至11月，白宝山带着谢宗芬，开始在北京和河北的各大批发市场游荡。他起初想抢劫银行，但银行安保严密，防守措施完善，几次踩点后，他放弃了这个想法。随后，他将目光投向了人流量大、现金交易频繁的批发市场。
两人先后前往北京日新园批发市场、河北辛集皮货批发市场、南三条批发市场。日新园批发市场人流量极大，摊位密集，不利于作案后撤离；辛集和南三条批发市场的交易规模较小，资金量无法满足白宝山的欲望。几次踩点都不满意，白宝山的耐心渐渐耗尽，脾气也变得越来越暴躁。
1996年12月16日中午12点20分，北京德胜门外烟市正是最热闹的时候。商贩们高声叫卖，顾客来来往往，讨价还价声此起彼伏。一名穿着深色外套、戴着毛线帽子的男子走进烟市，帽子的下沿被拽得很低，只露出一双冰冷的眼睛，正是白宝山。他身上穿着厚重的羽绒服，里面藏着那把八一式自动步枪，看似随意地在摊位间闲逛，目光却在不断扫视，寻找合适的目标。
很快，白宝山将目标锁定在一名女商户身上。这名女商户刚做完一笔生意，将厚厚的一沓现金放进随身的坤包里，正低头整理货物。白宝山快步走上前，猛地掏出藏在衣服里的步枪，对准女商户的胸部扣动了扳机。枪声在喧闹的市场里炸开，女商户当场倒地，鲜血染红了摊位上的香烟。
周围的路人吓得惊慌失措，纷纷四散逃窜。有三名男子反应过来，大声呼救，试图上前阻止。白宝山见状，毫不犹豫地转身，朝着这三名男子开枪。子弹呼啸而过，三名男子相继倒地，其中两人重伤，一人轻伤。白宝山一把抢过女商户掉在地上的坤包，转身向北拐进西河沿大街，钻进错综复杂的胡同里，瞬间消失不见。
混乱中，一名路人迅速拨打了110报警电话。五分钟后，警方赶到现场，此时市场内早已一片狼藉，血迹斑斑，散落的香烟和货物遍地都是。女商户和三名受伤男子被紧急送往德胜门外医院抢救，可女商户因胸部中弹，失血过多，最终因急性失血性休克死亡。
警方对现场进行了细致勘查，提取到多枚弹壳。北京市公安局痕迹鉴定专家连夜对弹壳进行分析，确认凶手使用的枪种为八一式自动步枪，与徐水兵营被抢的枪支完全一致。这一结论不仅证实了此案与之前的系列案件为同一人所为，也让警方理清了凶手的作案逻辑：抢枪是为了更好地抢钱，之前的袭军袭警案件，都是为了获取作案工具，最终目的是抢劫财物。
目击者提供的线索进一步完善了凶手的画像。据目击者回忆，凶手作案时戴着一顶80年代流行的毛线帽子，俗称“茶壶套”，可以将脸部完全包裹，只露出眼睛。凶手身高约1.81米，体型健壮，动作迅速，作案后逃窜路线明确，显然是提前规划好的。
案件侦破工作再次推进，可子弹来源的问题却始终困扰着警方。从北京、河北多起案发现场提取到的弹壳，编号均为“七五杠八一”，经核查，这批子弹生产于70年代中期，由河南某兵工厂制造，主要配备给南京军区和兰州军区。南京军区的这批子弹并未下发到部队，而兰州军区的子弹则分发到了新疆阿克苏、吐鲁番、石河子、奎屯等地区。
专案组立刻派人前往新疆，核查这批子弹的管理情况。可这批子弹下发时间久远，数量庞大，分布范围广，加上当时的管理手段相对落后，很难精准追踪到具体的流向。线索再次中断，可警方并没有放弃，他们凭借着这枚子弹，第一次将侦查方向引向了新疆。张良基局长判断，凶手很可能有新疆服役或生活的经历，这为后续的侦破工作提供了重要方向。
此时的白宝山，正躲在出租