En ECDSA, el firmante elige k en el rango 1…n−1, calcula el punto kG y toma su coordenada x módulo n como r; después, s = k⁻¹·(z + r·d) mod n, donde z es el hash truncado del mensaje y d la clave privada (FIPS 186-5 §6.4.1). Como s es lineal tanto en k como en d, conocer k de una sola firma basta para despejar la clave privada: d = (s·k − z)·r⁻¹ mod n. Por eso FIPS 186-5 §6.3 exige un k nuevo para cada firma, protegido como la propia clave.
La reutilización es igual de fatal y fácil de detectar: dos firmas con la misma clave y el mismo r dan k = (z₁ − z₂)·(s₁ − s₂)⁻¹ mod n y, a partir de ahí, d. Así se extrajo en 2010 la clave de firma de la PlayStation 3 y así se han vaciado muchas billeteras de cadenas de bloques. Ni siquiera hace falta que un nonce se repita: unos pocos bits de sesgo o de fuga por firma, reunidos en suficientes firmas, permiten que la reducción de retículos resuelva el problema del número oculto y recupere la clave.
Las bibliotecas modernas derivan k de forma determinista a partir de la clave privada y del hash del mensaje (RFC 6979, permitido por FIPS 186-5 §6.3.2) o usan una variante hedged que mezcla aleatoriedad nueva en la misma derivación. EdDSA integra la idea en el propio algoritmo: el nonce de Ed25519 es el SHA-512 de una mitad de la clave secreta y del mensaje (RFC 8032 §5.1.6). El comprobador de reutilización de nonces busca valores r repetidos en un conjunto de firmas.
Fuera de las firmas, «nonce» significa cualquier valor que se usa una sola vez: el IV de 96 bits de AES-GCM, el claim nonce de OpenID Connect, el encabezado Replay-Nonce de ACME. Esos valores tienen que ser únicos y nuevos, no secretos; el nonce de una firma es inusual porque necesita ambas cosas.