У жовтні 2026 року дослідники безпеки зафіксували масштабну кібератаку, під час якої зловмисники захопили понад 300 вихідних вузлів (exit relays) мережі Tor. Зловмисники змінювали конфігураційні файли серверів за допомогою рулкіта Ebury, перенаправляючи трафік протоколу SSH на спеціальні підроблені сервери для перехоплення та збереження паролів користувачів.

На піку активності 4 жовтня такі вузли складали майже 7,5% пропускної здатності вихідного трафіку Tor. Проєкт Tor оперативно виявив аномалію та розпочав масове маркування скомпрометованих серверів спеціальними мітками заборони. До 5 жовтня всі захоплені вузли були повністю виключені з консенсусу мережі.