Si alguien está utilizando una VPN + tor network + proxy de una VM y, por ejemplo, xss un sitio web (o cualquier otro método simple de desfiguración del sitio web), ¿cómo podría rastrearse?

Nadie, que yo sepa, ha afirmado poder rastrearte a través de TOR. Eso no significa que no se pueda hacer. Eso tampoco significa que no pueda ser identificado por otros medios.

Primero, no hagas nada estúpido, como ejecutar JavaScript o BitTorrent dentro de TOR.

En segundo lugar, vaya a eff.org y busque “panopticlick”, su navegador probablemente deje una firma única, que podría coincidir si visita ese sitio nuevamente. (Ellos sabrían que eres tú otra vez, pero aún no sabrán dónde estás).

En tercer lugar, ya podría tener un virus keylogger en su PC, incluso antes de comenzar, que capturará cada pulsación de tecla que escriba. Usa colas para evitar esto.

El paquete de software que menciona, con el uso adecuado, irá lo más lejos posible para eliminar el seguimiento. Pero “identificación” y “seguimiento” son diferentes. Se lo rastreará hasta el nodo de salida TOR, y no es bueno tener problemas para el operador del nodo de salida.

La piratería, incluso realizada “con seguridad”, es una mala idea.