Recado que fica

O mural da Estancia deixa qualquer um assinar um recado, e todos os recados aparecem para quem abrir a página. Cada recado salvo é desenhado de novo como HTML a cada visita. Diferente do refletido, aqui o que você manda fica guardado e roda sozinho na próxima vez que a página carregar, para qualquer visitante.

A página guarda window.staffToken (base64), legível por qualquer código que rode nela. Abra guestbook.html, assine um recado que, ao ser redesenhado, leia e mostre o staffToken, recarregue a página e decodifique o resultado: esse é o flag.

O flag tem o formato tocaia{...}. Um exemplo de mesma forma que NÃO é a resposta: tocaia{only_a_comment}.