То есть преобразовать адрес онион сайта в айпи сервера на котором он хостится невозможно? Тогда помоему вопрос о скане его портов отпадает сам собой. Ну допустим nmap умеет работать через сокс, а значит сможет просканировать открытую цель, сама скрываясь за тором. Но все равно айпи цели она должна при этом знать. А если цель тоже скрывается за тором, и установить её айпи нельзя, что же тогда сканировать? То есть цель тоже смотрит в сеть через торовский сокс, и может принять соединение только на этот единственный порт, остальные порты без знания айпишника для nmap будут не доступны.