ECDSA ist schon konstruktionsbedingt formbar, weil (r, s) und (r, n − s) beide die Prüfung bestehen, und seine DER-Kodierung fügt weitere Varianten hinzu, wenn Parser nicht minimal kodierte Längen oder aufgefüllte Ganzzahlen akzeptieren (was die Strict-DER-Regel aus BIP 66 bei Bitcoin 2015 unterband). EdDSA ist formbar, wenn ein Verifizierer die Prüfung auslässt, ob S kleiner als die Gruppenordnung ist. Malleability ist keine Fälschung: Niemand kann eine neue Nachricht signieren.
Relevant wird das, wenn die Signatur oder ein Hash über sie als Kennung dient. Vor SegWit flossen bei Bitcoin die Signaturen in den Hash ein, der die Transaktions-ID bildet, sodass Dritte die ID einer noch nicht bestätigten Transaktion ändern konnten (Mt. Gox berief sich darauf, als die Börse im Februar 2014 Auszahlungen stoppte). Smart Contracts, die sich verbrauchte Signaturen statt verbrauchter Nonces merken, und APIs, die Anfragen anhand der Signatur deduplizieren, scheitern auf dieselbe Weise.
Gegenmaßnahmen: kanonische Kodierungen (Strict DER, Low-S, S unter L), Kennungen, die aus dem signierten Inhalt statt aus der Signatur berechnet werden, explizite Nonces in signierten Payloads und Verfahren, die bei strenger Prüfung stark unfälschbar sind, etwa Ed25519 und BIP-340.