Nonces puramente aleatórios falham de forma catastrófica com um RNG fraco; os puramente determinísticos (RFC 6979, EdDSA) permitem que um atacante capaz de induzir uma falha enquanto a mesma mensagem é assinada duas vezes compare as duas saídas e recupere a chave, e facilitam alguns ataques de canal lateral, porque o nonce se repete exatamente. A versão hedged calcula o nonce como uma PRF da chave, da mensagem e de bytes aleatórios novos, de modo que qualquer uma das entradas, sozinha, basta para mantê-lo secreto.
O FIPS 204 torna a assinatura hedged o padrão do ML-DSA: um rnd de 32 bytes vindo de um RBG aprovado entra no hash junto com a chave e a mensagem, e a variante determinística opcional define rnd como zeros; o mesmo verificador aceita as duas (§3.4). No ECDSA, a RFC 6979 §3.6 permite dados adicionais na derivação, a BIP-340 recomenda misturar 32 bytes de aleatoriedade auxiliar, e a biblioteca @noble/curves expõe isso como extraEntropy.
As assinaturas hedged são indistinguíveis de qualquer outra assinatura, então os verificadores não sabem nem precisam saber. O que muda é o perfil de falha do signatário, e é por isso que as carteiras de hardware e os HSMs expostos a ataques físicos preferem essa abordagem.