Cada firma ECDSA da s·k = z + r·d (mod n). Si se sabe que los bits superiores de cada k son cero, o se filtran por un canal lateral, cada firma es una ecuación lineal aproximada en la clave privada d; con suficientes firmas, la reducción de retículos (LLL o BKZ) sobre una matriz construida a partir de las ternas (r, s, z) encuentra d. Este es el problema del número oculto de Boneh y Venkatesan (1996), aplicado a DSA por Howgrave-Graham y Smart (2001) y por Nguyen y Shparlinski (2002).
Filtrar unos pocos bits por firma basta con entre unos cientos y unos miles de firmas, y las técnicas recientes llevan la fuga por debajo de un bit. Entre los casos documentados están Minerva (2019, fugas de la longitud en bits a través de los tiempos de ejecución en tarjetas inteligentes y bibliotecas), TPM-Fail (2019, el TPM de firmware de Intel y un TPM de STMicroelectronics), LadderLeak (2020) y el estudio «Biased Nonce Sense» de 2019, que recuperó claves de firmas reales de Bitcoin y Ethereum con nonces cortos.
Defensas: generar los nonces de forma uniforme en todo el rango (deterministas según el RFC 6979, o hedged), calcular con código de tiempo constante que no revele la longitud en bits del nonce y tratar cualquier fuga de nonce notificada como un compromiso de la clave y no como un fallo cosmético.