Un voluntario de Tor detectó que los atacantes controlaron 333 nodos de salida entre el 2 y el 5 de octubre. Desviaban conexiones SSH hacia doce servidores propios. Si alguien ignoraba la advertencia sobre un cambio de clave del servidor e introducía su contraseña, podía entregársela al atacante. Los nodos también bloquearon ciertos puertos de correo asociados a conexiones cifradas y mantuvieron vías para mensajes sin cifrar. Todavía no se sabe si llegaron a leer mensajes concretos de ese modo. Según los voluntarios, el acceso inicial a un servidor de gestión se consiguió con una contraseña reutilizada.
Tor oculta la ruta de una conexión, pero no sustituye la autenticación del servidor ni el cifrado de extremo a extremo. Una alerta SSH sobre una clave distinta debe investigarse, no descartarse. Los administradores pueden desactivar el acceso con contraseña, usar claves SSH y comprobar huellas cuando aparezca un cambio inesperado. Los servicios de correo deben exigir conexiones cifradas y rechazar el texto plano. El informe no afirma que todos los nodos de Tor fueran comprometidos ni que todo el correo se interceptara. El caso muestra cómo una gran cantidad de salidas hostiles puede aprovechar configuraciones débiles de los protocolos que pasan por la red.