Los nonces puramente aleatorios fallan de forma catastrófica con un RNG débil; los puramente deterministas (RFC 6979, EdDSA) permiten que un atacante capaz de provocar un fallo mientras se firma dos veces el mismo mensaje compare las dos salidas y recupere la clave, y facilitan algunos ataques de canal lateral porque el nonce se repite exactamente. El hedging calcula el nonce como una PRF de la clave, el mensaje y bytes aleatorios nuevos, de modo que cualquiera de las dos entradas basta por sí sola para mantenerlo secreto.
FIPS 204 hace de la firma hedged el comportamiento predeterminado de ML-DSA: un rnd de 32 bytes procedente de un RBG aprobado pasa por el hash junto con la clave y el mensaje, y la variante determinista opcional pone rnd a ceros; el mismo verificador acepta ambas (§3.4). Para ECDSA, el RFC 6979 §3.6 permite datos adicionales en la derivación, BIP-340 recomienda mezclar 32 bytes de aleatoriedad auxiliar y @noble/curves la expone como extraEntropy.
Las firmas hedged parecen cualquier otra firma, así que los verificadores ni lo saben ni les importa. Lo que cambia es el perfil de fallos del firmante, y por eso las billeteras de hardware y los HSM expuestos a ataques físicos prefieren la firma hedged.