Sie haben auch den von mir angesprochenen Weg probiert, nämlich aus ihren Packet Traces am Ziel und an möglichen Quellen die Pakete zu korrelieren. Das ist die Achillesverse von Tor, weil das ja für interaktives Webklicken gedacht ist, daher sind da keine größeren Verzögerungen zum zeitlichen Entkoppeln möglich. Aber offensichtlich reichen die kleinen Jitter schon, die Tor einbaut.