> С Богатовым исходно задача была сделать виноватым.

И получилось? Нет. Сработано топорно, и результат соответствующий.

Те техники атак, о которых Вы рассказываете - это кропотливая профессиональная и слаженная работа многих людей плюс соответствующий уровень технического оснащения. Это не про наши органы/службы. Здесь хватать будут тупо первого встречного по совпадению IP в логах, ну не умеют они иначе, а дальше "дожим" до признания старыми испытанными методами. Поэтому рекомендации нужно давать с учетом реалий.

Вход в тор с провайдерского IP должен быть вообще исключен. Здесь нужен доверенный VPN или SOCKS в другой юрисдикции. Дальше тор с грамотно прописанными exclude nodes (опять смена юрисдикции и локации), непубличными мостами, обфускацией и т.п. Таким образом отслеживание тайминг-атак локальным атакующим по типу принадлежности к одному типу сети (тор или vpn) становится практически невозможным, изначальный и конечный узел цепи не принадлежат одной сети или типу трафика и проходят через разные зоны контроля. Далее банально подмешиваем какой-нибудь параллельный трафик, меняем цепи тора, играемся с юзерагентами, mtu, скоростью соединения (шейпить-то может не только атакующий) и т.п.