Curve25519 es la curva de Montgomery y² = x³ + 486662x² + x sobre el primo 2^255 − 19, diseñada por Daniel J. Bernstein en 2006 y especificada en el RFC 7748. Su grupo tiene orden 8·n, con n primo de 253 bits, lo que da unos 128 bits de seguridad, y su curva torcida cuadrática (quadratic twist) también es segura.
X25519, la función Diffie–Hellman sobre esta curva, solo usa coordenadas u: las claves son cadenas de 32 bytes, y a las claves privadas se les aplica el «clamping» que prescribe el RFC 7748 §5 para que el cofactor no pueda filtrar información. La función acepta cualquier valor de 32 bytes como clave pública; las entradas de orden bajo producen un secreto compartido formado solo por ceros, que los protocolos deberían rechazar.
TLS 1.3 incluye x25519 como grupo recomendado (Recommended) y lo usa como mitad clásica del híbrido X25519MLKEM768; SSH lo usa como curve25519-sha256 (RFC 8731), y WireGuard, Signal y age se basan en él. Su gemela en forma de Edwards torcida es edwards25519, que se usa para las firmas Ed25519.