Las fórmulas de suma de Weierstrass no usan el coeficiente b, así que un código que nunca comprueba la ecuación de la curva calculará sin problema d·P para un punto P de otra curva con un subgrupo pequeño. Cada respuesta (un secreto compartido ECDH, un mensaje cifrado, un MAC) revela d módulo un primo pequeño, y el teorema chino del resto combina suficientes respuestas para obtener la clave completa. Biehl, Meyer y Müller lo describieron en 2000; Jager, Schwenk y Somorovsky lo demostraron contra implementaciones de TLS-ECDH en 2015, y en 2017 se descubrió que varias bibliotecas JOSE aceptaban puntos no válidos en ECDH-ES.
La solución es barata: basta con comprobar que el punto está en la curva, que no es el punto del infinito y, cuando el cofactor es mayor que 1, que pertenece al subgrupo correcto (SEC 1 §3.2.2, SP 800-56A §5.6.2.3). La mayoría de las bibliotecas modernas validan al importar. X25519 y X448 están diseñados para que la escalera de Montgomery siga siendo segura sobre el twist de la curva, de modo que solo queda comprobar que la salida no esté formada solo por ceros.
Un fallo relacionado es confiar en parámetros de curva proporcionados por quien llama: la vulnerabilidad CVE-2020-0601 («CurveBall») de Windows CryptoAPI aceptaba certificados cuyos parámetros explícitos sustituían el generador por uno elegido por el atacante, lo que permitía que un certificado falsificado suplantara a una raíz de confianza. Admitir solo curvas con nombre, como exige el RFC 5480, cierra esa puerta.