По данным CoinDesk, Tornado Cash подвергся серверной атаке.Уязвимость позволяет украсть данные о депозитах и ​​внести средства, подвергая риску депозиты пользователей. Согласно сообщению на Medium члена сообщества Gas404, вредоносный код JavaScript был спрятан в предложении по управлению двухмесячной давности, представленном 1 января предполагаемым разработчиком Tornado Cash. Код перенаправил данные о депозитах на общедоступный сервер, размещенный предполагаемым разработчиком, и в настоящее время один депозит был украден.