Cada assinatura ECDSA fornece s·k = z + r·d (mod n). Se os bits mais altos de cada k são sabidamente zero ou vazam por um canal lateral, cada assinatura vira uma equação linear aproximada na chave privada d; com assinaturas suficientes, a redução de reticulados (LLL ou BKZ) aplicada a uma matriz montada a partir das triplas (r, s, z) encontra d. Esse é o problema do número oculto de Boneh e Venkatesan (1996), aplicado ao DSA por Howgrave-Graham e Smart (2001) e por Nguyen e Shparlinski (2002).
Vazar poucos bits por assinatura basta quando há de algumas centenas a alguns milhares de assinaturas, e técnicas recentes levam o vazamento a menos de um bit. Os casos documentados incluem o Minerva (2019, vazamentos de temporização do comprimento em bits em cartões inteligentes e bibliotecas), o TPM-Fail (2019, o TPM em firmware da Intel e um TPM da STMicroelectronics), o LadderLeak (2020) e o estudo “Biased Nonce Sense”, de 2019, que recuperou chaves de assinaturas reais de Bitcoin e Ethereum com nonces curtos.
Defesas: gere nonces de forma uniforme em todo o intervalo (determinísticos segundo a RFC 6979, ou hedged), calcule com código de tempo constante que não revele o comprimento em bits do nonce e trate qualquer vazamento de nonce relatado como comprometimento da chave, e não como um bug cosmético.