Theo CoinDesk, Tornado Cash đã bị tấn công từ phía sau, lỗ hổng này có khả năng đánh cắp dữ liệu tiền gửi và tiền gửi, khiến tiền gửi của người dùng gặp rủi ro. Theo một bài đăng trên Medium của thành viên cộng đồng Gas404, mã javascript độc hại đã bị ẩn trong đề xuất quản trị cách đây hai tháng do một nhà phát triển Tornado Cash bị cáo buộc gửi vào ngày 1 tháng 1. Mã đã chuyển hướng dữ liệu tiền gửi đến một máy chủ công cộng do nhà phát triển bị cáo buộc lưu trữ và một khoản tiền gửi hiện đã bị đánh cắp.