ECDSA es maleable por diseño, ya que tanto (r, s) como (r, n − s) superan la verificación, y su codificación DER añade más variantes cuando los analizadores aceptan longitudes no mínimas o enteros con relleno (lo que la regla de DER estricto de BIP 66 de Bitcoin cerró en 2015). EdDSA es maleable si un verificador omite la comprobación de que S es menor que el orden del grupo. La maleabilidad no es falsificación: nadie puede firmar un mensaje nuevo.
Importa cuando la firma, o un hash que la abarca, sirve de identificador. Antes de SegWit, los ID de las transacciones de Bitcoin se calculaban con un hash que incluía las firmas, así que terceros podían cambiar el ID de una transacción pendiente (Mt. Gox lo alegó cuando suspendió los retiros en febrero de 2014). Los contratos inteligentes que recuerdan las firmas usadas en lugar de los nonces usados, y las API que eliminan solicitudes duplicadas según la firma, fallan de la misma forma.
Defensas: codificaciones canónicas (DER estricto, low-S, S menor que L), identificadores calculados a partir del contenido firmado y no de la firma, nonces explícitos en las cargas útiles firmadas y esquemas con infalsificabilidad fuerte cuando se verifican de forma estricta, como Ed25519 y BIP-340.