Fast att säga att Tor är säkert så länge inte någon sniffar trafiken är ju som att säga att man är helt anonym på Internet tills någon försöker ta reda på vem man är. Vad jag förstått krypteras inte trafiken med Tor, och det är väl där som säkerheten brister ifall man exempelvis sitter på ett IT-cafe. Någon kan fortfarande sniffa all trafik, och även trafik som du skickar vidare till någon annan nod.
Som någon sagt tidigare, Tor är bra för att surfa anonymt, men inte särskilt säkert, medan VPN kanske inte erbjuder riktigt lika mycket anonymitet (beroende på datalagringsdirektivet samt ISP:n) men bättre säkerhet.