Un bénévole du réseau Tor a constaté que des attaquants contrôlaient 333 nœuds de sortie du 2 au 5 octobre. Ils redirigeaient des connexions SSH vers douze serveurs d'interception. Un utilisateur ignorant l'alerte signalant le changement de clé du serveur et saisissant son mot de passe pouvait le livrer aux assaillants. Les nœuds bloquaient aussi certains ports de messagerie utilisés pour les accès chiffrés, tout en laissant des voies pour des messages en clair. On ignore encore si des courriels précis ont été interceptés. Selon les bénévoles de Tor, l'accès initial à un serveur de gestion a utilisé un mot de passe réemployé.
Tor masque le chemin d'une connexion, mais ne remplace ni l'authentification du serveur ni le chiffrement de bout en bout. Une alerte SSH sur une nouvelle clé doit être vérifiée plutôt qu'ignorée. Les administrateurs peuvent désactiver l'accès par mot de passe, utiliser des clés SSH et comparer les empreintes après un changement inattendu. Les services de courrier doivent imposer des connexions chiffrées et refuser un retour au texte en clair. L'enquête ne dit pas que tous les relais Tor ont été piratés ni que tous les messages ont été lus. Elle montre comment des nœuds de sortie malveillants exploitent des réglages faibles des protocoles transportés.