Tor网络的一名志愿研究人员发现，攻击者在十月二日至五日期间控制了333个出口节点，并把SSH连接转向12台自己的拦截服务器。如果用户无视远程主机密钥已变化的警告，继续输入密码，凭据就可能落入攻击者手中。攻击者还封锁若干加密邮件连接使用的端口，保留明文邮件路径。调查人员尚不能确定这一做法是否真的让他们读取到具体邮件。Tor志愿者称，最初的管理服务器入侵涉及重复使用的密码。
这个事件提醒用户，Tor隐藏网络路径，却不能代替对远端服务器身份的验证，也不会自动为应用层内容加密。SSH出现主机密钥变化警告时，不应随手忽略。管理员可以关闭密码登录，改用SSH密钥，并在密钥突然变化时核对指纹。邮件服务应强制使用加密连接，拒绝退回明文。报道没有声称所有Tor节点都被控制，也没有证据证明全部邮件都被窃取。它展示的是大量恶意出口节点如何利用上层协议的薄弱配置。对于受影响时段曾经通过Tor登录SSH服务器的人，检查登录记录、重置可能暴露的密码并排查异常命令，是比泛泛担忧网络匿名性更具体的行动。研究仍有未解之处，包括攻击者如何取得如此多服务器的控制权。
事件还说明，SSH主机密钥警报本身是一道有效防线。攻击者搭建的中转服务器可以模仿登录页面，却很难在不被察觉的情况下拥有真正服务器的私钥。只要用户认真核对指纹并拒绝输入密码，攻击链就会被打断。邮件方面，服务器应拒绝不安全的降级，而不是在加密端口不可达时自动改用明文。研究者尚不确定攻击者身份，不应把此次行动归因于某个国家或组织。
调查人员通过轮询约三千个Tor出口节点，比较访问测试服务器时出现的SSH指纹，才锁定了受操控节点和中转服务器。这个方法比单看异常流量更具体，也说明密钥校验为什么重要。研究者仍不知道攻击者如何拿到所有底层服务器的管理权，部分线索只能支持假设。普通用户若只通过HTTPS浏览网页，浏览器与网站之间的加密仍提供保护；这次攻击主要利用SSH密码登录及可能退回明文的邮件连接。不能把它简化为“Tor所有通信都不安全”。