Lorsque h dépasse 1, la courbe contient de petits sous-groupes, si bien qu’un point fourni par un pair peut se trouver hors du sous-groupe d’ordre premier. Les protocoles y remédient en multipliant par le cofacteur (Diffie–Hellman avec cofacteur dans SP 800-56A), en ramenant les scalaires secrets à des multiples du cofacteur (clamping, dans X25519 et Ed25519), en vérifiant l’appartenance au sous-groupe ou en utilisant une abstraction d’ordre premier comme ristretto255 ou decaf448 (RFC 9496).
Bugs réels : en 2017, le problème de cofacteur de CryptoNote permettait à une même sortie Monero de produire plusieurs images de clé (key images) valides, ce qui aurait pu permettre une double dépense jusqu’à sa correction. Des vérificateurs EdDSA qui divergent sur les vérifications avec ou sans cofacteur (la RFC 8032 §5.1.7 autorise les deux) acceptent des ensembles différents de signatures construites par un adversaire, ce qui pose problème dans les systèmes de consensus.
Les courbes de Weierstrass de cofacteur 1 n’ont aucun de ces problèmes, ce qui explique en partie pourquoi les courbes d’ordre premier restent appréciées pour les protocoles qui ont besoin d’une sémantique de groupe simple, comme le calcul multipartite et les fonctions aléatoires vérifiables.