Cloudflare 发布了其关于 Salesloft Drift 事件的安全事件时间线，精确到分钟，值得稍作停留以细读细节。2025 年 8 月 9 日 11:51，研究人员追踪到的攻击者 GRUB1 尝试使用 TruffleHog 的用户代理字符串（该工具专为查找泄露的秘密而构建，此处被重新利用以验证某个令牌是否有效）来验证被盗的 Cloudflare API 令牌，并将其提交至 Salesforce API。此次尝试失败。到了 22:14，情况则有所不同。