A nota adulterada

Depois do vexame dos Dois recados do capataz, a Estância Coxilha Verde resolveu se modernizar e contratou o Tiago, sobrinho do capataz, que voltou de Porto Alegre com um curso de programação.

A primeira ideia dele: deixar as notas de venda do gado numa pasta compartilhada, para os compradores baixarem, e publicar no site da estância, longe da pasta, o arquivo SHA256SUMS, com o hash SHA-256 de cada nota. Assim, diz ele, qualquer um confere se a nota que baixou é a original.

Um comprador depositou o pagamento e o dinheiro nunca chegou. Alguém com acesso à pasta mexeu numa das notas. Nos anexos estão as oito notas como estão na pasta e o SHA256SUMS do site.

Qual nota foi adulterada? A flag é o nome do arquivo, sem a extensão, dentro de tocaia{...}. Exemplo de forma (não é a resposta): tocaia{nota-0400}.