desde enero de 2020 el atacante ha estado usando diferentes técnicas para desviar el tráfico de los usuarios de criptomonedas hacia sitios web maliciosos, con el fin de apropiarse de sus fondos de manera fraudulenta.

A través de los llamados «exit relays«, logran sacar a los usuarios de la navegación privada dentro de Tor hacia la red pública de Internet. En lo que denomina como «SSL stripping attack«, los atacantes dirigen el tráfico del protocolo HTTPS (encriptado) a HTTP (texto simple), exponiendo la seguridad de los usuarios.

Así, fácilmente el atacante puede sustituir una dirección hash por una propia, causando que el usuario envíe sus criptomonedas a esta dirección falsa, propiedad del atacante.

Ante las medidas que el equipo de Tor ha asumido para contrarrestar estos ataques, el actor malicioso arremetió con todas sus fuerzas a principios de mayo de 2021 para realizar otro ataque, logrando añadir 1.000 servidores de salida adicionales a los cerca de 1.500 que, en promedio, se mantienen en la red Tor.