A Curve25519 é a curva de Montgomery y² = x³ + 486662x² + x sobre o primo 2^255 − 19, projetada por Daniel J. Bernstein em 2006 e especificada na RFC 7748. O grupo dela tem ordem 8·n, com n primo de 253 bits, o que dá cerca de 128 bits de segurança, e a torção quadrática dela também é segura.
O X25519, a função Diffie–Hellman sobre esta curva, usa apenas coordenadas u: as chaves são strings de 32 bytes, e as chaves privadas passam pelo “clamping” que a RFC 7748 §5 prescreve, para que o cofator não possa vazar informações. A função aceita quaisquer 32 bytes como chave pública; entradas de ordem baixa produzem um segredo compartilhado só de zeros, e convém que os protocolos o rejeitem.
O TLS 1.3 lista o x25519 como grupo recomendado e o usa como a metade clássica do híbrido X25519MLKEM768; o SSH o usa como curve25519-sha256 (RFC 8731), e o WireGuard, o Signal e o age são construídos sobre ele. A gêmea da curva na forma de Edwards torcida é a edwards25519, usada nas assinaturas Ed25519.